如何在ingest管道(弹性堆栈)中使用条件添加自定义字段？

Question

需要在文件中添加一个名为app_statuscode的新字段。条件是，如果消息字段包含404或502，则必须将app_statuscode的值设置为“失败”。如果消息字段包含200 OK，则必须将该值设置为“成功”。有人能帮我吗？

Answer 1

可以利用多个处理器在吞吐节点管道中实现这一点。如果是JSON，则取决于日志格式，然后使用json处理器将json消息分解为json对象。一旦完成，我们就可以使用点运算符访问每个值。

messageinfo

• Use

• 使用json处理器，并将目标字段名命名为 set处理器，并提到条件ctx.messageinfo.status==200，然后添加一个名为status_code的新字段。。

Grok模式是解决此问题的另一种选择。如果消息是字符串格式，则使用grok模式，然后设置运算符以插入状态值。