logstash - ELK 中 fieldname 和 fieldname.raw 的区别？

Question

我一直在尝试使用 ELK stack 一段时间，现在是在网络上关注一些资源。但是我没有找到任何重要的资源来清楚地解释 fieldname 和 fieldname.raw 之间的区别，对于名称为 fieldname 的字段。

在这种情况下没有什么可尝试的，但我确实尝试搜索了这个但没有成功。我对此唯一的主要理解是来自 Kibana 窗口(很遗憾，我不知道如何重现)，它说:fieldname 是一个分析字段。没有关于 fieldname.raw

的此类信息

我注意到的另一件事是，当我在 Kibana4 Discover 中使用 fieldname.raw: "value" 时，它显示的结果比我看到的多一点字段名:“值”。由于这些输入分别有 559 和 554 个结果，我看不出缺少哪些。

我猜后缀 .raw 说明了它的含义 - 它可能是日志本身的一个字段，没有 Logstash 的任何干预。但我想确定这是否是它的意思。如果是这样，那么我是如何(更重要的是，为什么？)在分析的领域中得到更少的结果？ Logstash 是否有任何不正确的地方，或者是某种错误配置？感谢任何指点。

Answer 1

elasticsearch 中的每个字段都有一个映射，描述类型以及如何分析它以进行索引。

默认情况下，字段是字符串并经过分析(删除标点符号，将单词分隔成标记等)。例如，名为“路径”的字段具有:

/var/log/messages

会变成

["var", "log", "messages"]

这意味着您无法再搜索原始字符串，并且标点符号中的任何含义都已丢失。

这是对日志数据使用文本引擎的副作用。

由于每个 logstash 用户几乎都会立即点击它，因此 logstash 团队创建了一个模板，该模板将为名为“logstash-*”的任何索引配置映射。

此模板定义了一个名为“raw”的多字段，它被设置为“not_analyzed”。因此，您最终在索引中得到了两项:

path: ["var", "log", "messages"]
path.raw: "/var/log/messages"

非常有用，特别是对于前面提到的那些初次使用的用户。您可以在 kibana 或其他查询中使用“path.raw”。

编辑:关于 kibana 的快速说明:如果您使用分析字段，它将为每个标记创建一个项目，因此您最终会得到一个饼图，其中包含“var”、“log”和“消息”。

一旦您更加熟悉映射和模板，您可能会考虑将您的基本字段设置为 not_analyzed，从而完全不需要“.raw”。这也将允许您使用 doc_values，这是另一个有趣的话题。

祝你好运!