Я тестирую свою конфигурацию logstash с помощью rspec, чтобы она соответствовала базовому журналу tomcat, но когда я указываю поля в моем шаблоне grok, он терпит неудачу (без полей это удается!).
config <<-CONFIG
filter {
grok {
patterns_dir -> "./patterns"
pattern => "%{CATALINA_DATESTAMP:logTimestamp} %{JAVACLASS} %{WORD}"
}
}
CONFIG
sample 'Jul 15, 2015 9:33:23 AM org.apache.catalina.core.ApplicationContext log'
// РЕДАКТИРОВАТЬ: исправлено TOMCAT_DATESTAMP на CATALINA_DATESTAMP, что:
CATALINA_DATESTAMP %{MONTH} %{MONTHDAY}, 20%{YEAR} %{HOUR}:?%{MINUTE}(?::?%{SECOND}) (?:AM|PM)
Когда в шаблоне присутствует часть «: logTimestamp», ничего не сопоставляется. когда он удален, он соответствует строке ... любые идеи о том, почему? Это ошибка пользователя, ошибка установки или что-то еще?