Logstash 中type 和 tags

type 和 tags 是 logstash 事件中兩個特殊的欄位。通常來說我們會在輸入區段中通過 type 來標記事件型別 —— 我們肯定是提前能知道這個事件屬於什麼型別的。而tags 則是在資料處理過程中，由具體的外掛來新增或者刪除的。

最常見的用法是像下面這樣：

input {
    stdin {
        type => "web"
    }
}
filter {
    if [type] == "web" {
        grok {
            match => ["message", %{COMBINEDAPACHELOG}]
        }
    }
}
output {
    if "_grokparsefailure" in [tags] {
        nagios_nsca {
            nagios_status => "1"
        }
    } else {
        elasticsearch {
        }
    }
}

作者：jiankunking 出處：http://blog.csdn.net/jiankunking