logstash 变量

Logstash 支持多种类型的变量，包括环境变量、命令行参数变量、配置文件中的变量等。以下是一些常用的变量类型：

1. 环境变量：可以通过 `${ENV_VAR}` 的形式在配置文件中引用环境变量，例如 `${HOSTNAME}` 表示主机名。

2. 命令行参数变量：可以在启动 Logstash 时通过 `-p` 参数设置变量，例如 `-p my_var=my_value` 表示设置一个名为 `my_var` 值为 `my_value` 的变量。

3. 配置文件中的变量：可以使用 `${}` 的形式在配置文件中引用变量，例如 `${my_var}` 表示引用名为 `my_var` 的变量。

4. 自定义变量：可以通过 `variables` 插件定义自己的变量，例如：

   variables:
     my_var: my_value

以上是一些常用的 Logstash 变量类型，可以根据实际需要选择合适的变量类型。

相关问题

logstash filter 多个变量定义

在Logstash的filter中，你可以使用多个变量定义。例如，你可以使用grok filter从原始日志中提取多个字段，然后将这些字段存储在Logstash事件中。

以下示例展示了如何使用grok filter提取多个字段：

filter {
  grok {
    match => { "message" => "%{IP:client} %{WORD:method} %{URIPATHPARAM:request} %{NUMBER:bytes} %{NUMBER:duration}" }
  }
}

在这个示例中，我们使用了grok filter从message字段中提取了五个字段：client、method、request、bytes和duration。在存储这些字段的过程中，我们使用了不同的变量名，这些变量名被定义为grok模式中的命名捕获组。

你可以根据需要定义任意数量的变量，只要它们在Logstash事件中有意义并且不会导致命名冲突。

卸载Logstash

### 如何逐步卸载 Logstash

#### 卸载通过包管理器安装的 Logstash

对于使用官方支持的操作系统包管理工具（如 APT 或 YUM）安装的情况：

在基于 Debian 的系统上，可以执行如下命令来移除 Logstash[^2]：

sudo apt-get remove logstash

在基于 Red Hat 的系统中，则应运行此命令以完成相同操作:

sudo yum erase logstash

#### 手动删除独立版本的 Logstash

如果是以 tar.gz 形式的二进制文件自行解压并部署到服务器上的实例，那么只需要简单地停止服务并将对应的目录删除即可。通常情况下，这涉及两个主要步骤:

1. 停止正在运行的服务进程；
2. 删除软件所在的整个文件夹。

例如，在 Linux 上可以通过下面的方式终止所有关联的任务并且清理残留的数据:

pkill -f logstash
rm -rf /usr/share/logstash/

请注意上述路径 `/usr/share/logstash` 可能会依据实际安装位置有所不同；另外还需要确保已经备份任何重要的配置文件或其他资源以防误删重要资料。

#### 清理环境变量和其他设置

无论采用哪种方式卸载 Logstash ，都建议检查系统的 shell 配置文件 (比如 `.bashrc`, `.zshrc`) 和其他可能影响全局行为的地方是否存在指向旧版 Logstash 安装路径的相关定义，并将其清除掉。