23.8. 使用 Rsyslog 的结构化日志记录

imjournal 模块是 Rsyslog的输入模块，用于原生读取日志文件（请参阅 第 23.7 节 “Rsyslog 和日志的交互”）。然后，日志消息作为其他 rsyslog 消息以文本格式记录。但是，通过进一步处理，可以将 日志 提供的元数据转换为结构化消息。

要将数据从 Journal 导入到 Rsyslog，请在 /etc/rsyslog.conf 中使用以下配置：

module(load=”imjournal”
  PersistStateInterval=”number_of_messages”
  StateFile=”path”
  ratelimit.interval=”seconds”
  ratelimit.burst=”burst_number”
  IgnorePreviousMessages=”off/on”)

module(load”imjournal”)
module(load”imuxsock”
  SysSock.Use=”off”
  Socket="/run/systemd/journal/syslog")

您可以将 Journal 存储的所有数据和元数据转换为结构化消息。其中一些元数据条目在 例 23.19 “详细 journalctl Output” 中列出，有关 journal 字段的完整列表请查看 systemd.journal-fields(7) 手册页。例如，可以专注于 内核日志字段，这些字段由内核中源自的消息使用。

要创建 rsyslog的解析模块所需的 lumberjack 格式的消息，请使用以下模板：

template(name="CEETemplate" type="string" string="%TIMESTAMP% %HOSTNAME% %syslogtag% @cee: %$!all-json%\n")

此模板将 @cee: 字符串前缀放在 JSON 字符串中，例如，在创建带有 omfile 模块的输出文件时应用。若要访问 JSON 字段名称，请使用 $! 前缀。例如，以下过滤器条件使用特定主机名和 UID 搜索消息：

($!hostname == "hostname" && $!UID== "UID")

mmjson 稀 疏模块用于解析结构化消息。

这些消息可以来自 日志 或其他输入源，并且必须通过 Lumberjack 项目定义的方式格式化。这些消息通过存在 @cee: 字符串来标识。然后，mmjson 稀疏检查 JSON 结构是否有效，然后解析消息。

要使用 mmjsonparse 解析 lumberjack 格式的 JSON 消息，请在 /etc/rsyslog.conf 中使用以下配置：

module(load”mmjsonparse”)

. :mmjsonparse:

在本例中，mmjsonparse 模块加载到第一行，然后所有消息都转发到它。目前，没有可用于 mmjson 稀疏的配置参数。

rsyslog 支持通过 the ommongodb 输出模块将 JSON 日志存储在 MongoDB 文档数据库中。

要将日志消息转发到 MongoDB，请在 /etc/rsyslog.conf 中使用以下语法（ ommongodb 的配置参数仅以新配置格式可用），请参阅 第 23.3 节 “使用新配置格式”：

module(load”ommongodb”)

. action(type="ommongodb" server="DB_server" serverport="port" db="DB_name" collection="collection_name" uid="UID" pwd="password")

您可以使用模板来构建最终数据库输出的形式。默认情况下，r syslog 使用基于标准 lumber jack 字段名称的模板。