elasticsearch - 我可以从 Logstash 中删除消息字段吗？

Question

我有一个基本的 Logstash -> Elasticsearch 设置，事实证明在 logstash 过滤器完成其工作后不需要“消息”字段 - 将这个原始消息字段存储到 elasticsearch 只会向存储 imo 添加不必要的数据。

我可以安全地删除这个字段吗？它会给 ES 带来什么麻烦吗？欢迎提供建议或阅读，谢谢。

Answer 1

不会，不会对ES造成任何困扰。如果 message 字段是多余的或未使用的，您可以将其删除。

你可以添加这个 filter到过滤器的末尾。

mutate
{
     remove_field => [ "message" ]
}