本节书摘来自华章出版社《ELK Stack权威指南（第2版）》一书中的第1章，第1.2节，作者 饶琛琳  更多章节内容可以访问云栖社区“华章计算机”公众号查看。 

1.2　Hello World

与绝大多数IT技术介绍一样，我们也以一个输出“Hello World”的形式开始学习Logstash。

1.命令行运行

在终端中，像下面这样运行命令来启动 Logstash 进程：

# bin/logstash -e 'input{stdin{}}output{stdout{codec=>rubydebug}}'

首先看到终端输出一段进程启动过程的提示输出。提示以"Successfully started Logstash API endpoint {:port=>9600}"结束。

然后你会发现终端在等待你的输入。没问题，敲入Hello World，回车，看看会返回什么结果！

{

"message" =>"Hello World",

"@version" =>"1",

"@timestamp" =>"2014-08-07T10:30:59.937Z",

"host" =>"raochenlindeMacBook-Air.local",

}

没错！就是这么简单。

2.完整示例

命令行运行当然不是什么特别方便的用法，所以绝大多数情况下，我们都是采用额外定义一个logstash.conf配置文件的方式来启动Logstash。下面是我们的第一个完整版logstash.conf的示例：

input {

    stdin { }

}

output {

    stdout {

        codec => rubydebug {}

    }

    elasticsearch {

        Rost=>["127.0.0.1"]

    }

}

因为在5.0版本中，Elasticsearch和Kibana都是独立服务。如果你按照上一节的***实践配置好了yum的话，通过如下命令启动服务即可：

# service elasticsearch start && service kibana start

然后在终端上这样运行：

# bin/logstash -f logstash.conf

同样，还是输入一次Hello World。你会看到和上一次一样的一段Ruby对象输出。但事实上，这个完整示例可不止如此。打开另一个终端，输入下面一行命令：

# curl http://127.0.0.1:9200/_search?q=hello

你会看到终端上输出下面这么一段内容：

{"took":15,"timed_out":false,"_shards":{"total":27,"successful":27,"failed":0},"hits":{"total":1,"max_score":0.095891505,"hits":[{"_index":"logstash-2015.08.22","_type":"logs","_id":"AU90s1eNgg_P5-w7SB32","_score":0.095891505,"_source":{"message":"Hello World","@version":"1","@timestamp":"2014-08-07T10:30:59.937Z","host":"raochenlindeMacBook-Air.local"}}]}}

这时候你打开浏览器，访问http://127.0.0.1:5601地址，按照提示完成index pattern配置（正常的话只需要点击一下Create按钮），即可点击Discover页面看到如图1-1所示的效果。你在终端上输入的数据，可以从这个页面上任意搜索了。

对index pattern配置有疑惑的读者，可以阅读本书第三部分关于Kibana的章节。

3.解释

每位系统管理员都肯定写过很多类似这样的命令：cat randdata | awk '{print $2}' | sort | uniq -c | tee sortdata。这个管道符|可以算是Linux世界最伟大的发明之一（另一个是“一切皆文件”）。

Logstash就像管道符一样！

输入（就像命令行的cat）数据，然后处理过滤（就像awk或者uniq之类）数据，最后输出（就像tee）到其他地方。

当然实际上，Logstash是用不同的线程来实现这些的。如果你运行top命令然后按下H键，你就可以看到下面这样的输出：

    PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND

21401 root      16   0 1249m 303m  10m S 18.6  0.2 866:25.46 |worker

21467 root      15   0 1249m 303m  10m S  3.7  0.2 129:25.59 >elasticsearch.

21468 root      15   0 1249m 303m  10m S  3.7  0.2 128:53.39 >elasticsearch.

21400 root      15   0 1249m 303m  10m S  2.7  0.2 108:35.80 <file

21403 root      15   0 1249m 303m  10m S  1.3  0.2  49:31.89 >output

21470 root      15   0 1249m 303m  10m S  1.0  0.2  56:24.24 >elasticsearch.

如上例所示，Logstash很温馨地给每类线程都取了名字，输入的叫<xx，过滤的叫|xx，输出的叫>xx。

数据在线程之间以事件的形式流传。不要叫行，因为Logstash可以处理多行事件。

Logstash会给事件添加一些额外信息。最重要的就是@timestamp，用来标记事件的发生时间。因为这个字段涉及Logstash的内部流转，所以必须是一个joda对象，如果你尝试自己给一个字符串字段重命名为@timestamp的话，Logstash会直接报错。所以，请使用logstash-filter-date插件来管理这个特殊字段。

此外，大多数时候，还可以见到另外几个：

host标记事件发生在哪里。

type标记事件的唯一类型。

tags标记事件的某方面属性。这是一个数组，一个事件可以有多个标签。

你可以随意给事件添加字段或者从事件里删除字段。事实上事件就是一个Ruby对象，或者更简单地理解为就是一个哈希也行。

每个Logstash过滤插件，都会有四个方法叫add_tag、remove_tag、add_field和remove_field，它们在插件过滤匹配成功时生效。

推荐阅读

官网上“the life of an event”文档：http://logstash.net/docs/1.4.2/life-of-an-event

Elastic{ON}上《life of a logstash event》演讲：https://speakerdeck.com/elastic/life-of-a-logstash-event