Bonjour,
j'essaye actuellement de configurer le plugin logstash-output-email afin de remonter par email tout log portant un tag particulier, mais je n'y parvient pas. J'ai essayé plusieurs type de configuration mais rien n'y fait. J'utilise le tag et non pas le contenu du champ "severity" car j'ai lu qu'il y avais des soucis avec l'option match du plugin email.
J'utilise la version 4.0.3 du plugin, sur la version 5.1.2 de ELK.
Du coup, je me posais une question toute bête car ce n'est précisé sur aucune doc ou aucun forum mais est ce que un client mail ( sendmail par exemple ) doit être configuré sur le serveur ELK pour que cela fonctionne ? Ou est ce que le plugin embarque son propre client ?
Voici ma configuration en sortie :
filter {
grok {
match => { "severity" => "warning" }
add_tag => ["warning"]
}
}
output {
if "warning" in [tags] {
email {
to => "technicien@entreprise.com"
address => "mail.entreprise.com"
port => "465"
via => "smtp"
use_tls => "true"
username => "elk@entreprise.com"
password => "passwordelk@entreprise.com"
from => "elk@entreprise.com"
subject => "critical event spotted by ELK from : %{host}"
body => "%{message,_id}"
}
}
else {
stdout {
codec => rubydebug
}
}
}
Les logs qui m’intéressent prennent bien le tag "warning", mais lorsqu’un log avec ce tag arrive, j'ai le message d'erreur suivant sur le stdout :
[[main]>worker1] ERROR logstash.outputs.email - Something happen while delivering an email {:exception=>#<Timeout::Error: Timeout::Error>}
Du côté du /var/log/mail.log, j'ai le message suivant :
Feb 13 17:22:06 elk sm-mta[26039]: v1DGM3j6026039: to=elk@entreprise.com, delay=00:00:03, xdelay=00:00:01, mailer=esmtp, pri=30000, relay=mx1.entreprise.com. [X.X.X.X], dsn=2.0.0, stat=Sent (Ok: queued as 3vMW651wTKz12YL)
Cela indique que le mail est passé en file d'attente sur le serveur mail mais j'ai du mal à y croire, étant donné le message d'erreur sur le stdout de logstash ... De plus, je n'ai pas la main sur le serveur mail Postfix pour vérifier.
Est ce que quelqu’un aurait une idée ? quelque chose cloche dans ma conf ?
Merci.
