从logstash中的文件名条件创建字段

Question

我有几个具有以下名称的日志，其中E-1.P-28、E-1.P-45和E-1.P-51是生成这些日志的运算符(它们不出现在数据中。我只能通过从文件名中获取来识别它们)

p2sajava131.srv.gva.es_11101.log.online.E-1.P-28.21.01.21.log

p1sajava130.srv.gva.es_11101.log.online.E-1.P-45.21.03.04.log

p1sajava130.srv.gva.es_11101.log.online.E-1.P-51.21.03.04.log

..。

是否可以使用翻译过滤器创建一个新字段？有些人这样想：

translate{
field => "[log.file.path]"
         destination => "[operator_name]"
         dictionary => {
            if contains "[E-1].[P-28]" => "OPERATOR-1"
            if contains "[E-1].[P-45]" => "OPERATOR-2"
            if contains "[E-1].[P-51]" => "OPERATOR-3"

谢谢

Answer 1

我这里没有麋鹿，所以我不能测试，但这应该可以工作

if [log][file][path] =~ "[E-1].[P-28]" {
    mutate {
        add_field => { "[operator][name]" => "OPERATOR-1" }
    }
}

if [log][file][path] =~ "[E-1].[P-45]" {
    mutate {
        add_field => { "[operator][name]" => "OPERATOR-2" }
    }
}

if [log][file][path] =~ "[E-1].[P-51]" {
    mutate {
        add_field => { "[operator][name]" => "OPERATOR-3" }
    }
}