rsyslog - как пометить и применить набор правил по содержимому строки?

Я очищаю и стандартизирую нашу обработку журналов, добавляя fluentd и ELK. Эта часть работает нормально, так как nginx ведет лог в свой собственный файл:

input(type="imfile" tag="app.nginx" file="/var/log/nginx/access.log" ruleset="fluentd")

Однако другие компоненты приложения, например. процесс python, регистрируются в /var/журнал/системный журнал с сообщениями журнала с префиксом [колба]. я хотел бы отфильтровать /var/журнал/системный журнал сообщения, содержащие [колба], отметьте их приложение.flask, и примените свободно говорил набор правил.

Я мог бы настроить каждую службу для ведения журнала в свой собственный файл, например nginx, но я хотел бы избежать изменения конфигурации systemd, если это возможно.

В итоге я решил эту проблему, перенаправляя сообщения в определенный файл журнала, а затем добавляя вход указал на это.

если $rawmsg содержит "[flask]", тогда /var/log/flask.log

input(type="imfile" tag="app.flask" file="/var/log/flask.log" набор правил="fluentd")

Если есть способ сделать это без перенаправления в другой файл, я все равно хотел бы знать.