elasticsearch - 将 Logstash 配置为仅包含某些字段

Question

使用 filter、mutate 和 remove_field，Logstash 可以配置为从输出中排除某些字段。

但是，如果只知道要包含的字段的名称，而想排除所有其他字段(事先不知道的名称)怎么办？这是怎么做到的？

谢谢

Answer 1

您可以使用 ruby filter :

filter {
  ruby {
    code => "
      wanted_fields = ['message', 'foo']
      event.to_hash.keys.each { |k|
        event.remove(k) unless wanted_fields.include? k
      }
    "
  }
}

相关:

• Remove Field from event by pattern