gpt4 book ai didi

logstash - ELK 中 fieldname 和 fieldname.raw 的区别?

转载 作者:行者123 更新时间:2023-11-29 02:51:20 26 4
gpt4 key购买 nike

我一直在尝试使用 ELK stack 一段时间,现在是在网络上关注一些资源。但是我没有找到任何重要的资源来清楚地解释 fieldnamefieldname.raw 之间的区别,对于名称为 fieldname 的字段。

在这种情况下没有什么可尝试的,但我确实尝试搜索了这个但没有成功。我对此唯一的主要理解是来自 Kibana 窗口(很遗憾,我不知道如何重现),它说:fieldname 是一个分析字段。没有关于 fieldname.raw

的此类信息

我注意到的另一件事是,当我在 Kibana4 Discover 中使用 fieldname.raw: "value" 时,它显示的结果比我看到的多一点字段名:“值”。由于这些输入分别有 559 和 554 个结果,我看不出缺少哪些。

我猜后缀 .raw 说明了它的含义 - 它可能是日志本身的一个字段,没有 Logstash 的任何干预。但我想确定这是否是它的意思。如果是这样,那么我是如何(更重要的是,为什么?)在分析的领域中得到更少的结果? Logstash 是否有任何不正确的地方,或者是某种错误配置?感谢任何指点。

最佳答案

elasticsearch 中的每个字段都有一个映射,描述类型以及如何分析它以进行索引。

默认情况下,字段是字符串并经过分析(删除标点符号,将单词分隔成标记等)。例如,名为“路径”的字段具有:

/var/log/messages

会变成

["var", "log", "messages"]

这意味着您无法再搜索原始字符串,并且标点符号中的任何含义都已丢失。

这是对日志数据使用文本引擎的副作用。

由于每个 logstash 用户几乎都会立即点击它,因此 logstash 团队创建了一个模板,该模板将为名为“logstash-*”的任何索引配置映射。

此模板定义了一个名为“raw”的多字段,它被设置为“not_analyzed”。因此,您最终在索引中得到了两项:

path: ["var", "log", "messages"]
path.raw: "/var/log/messages"

非常有用,特别是对于前面提到的那些初次使用的用户。您可以在 kibana 或其他查询中使用“path.raw”。

编辑:关于 kibana 的快速说明:如果您使用分析字段,它将为每个标记创建一个项目,因此您最终会得到一个饼图,其中包含“var”、“log”和“消息”。

一旦您更加熟悉映射和模板,您可能会考虑将您的基本字段设置为 not_analyzed,从而完全不需要“.raw”。这也将允许您使用 doc_values,这是另一个有趣的话题。

祝你好运!

关于logstash - ELK 中 fieldname 和 fieldname.raw 的区别?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/31440011/

26 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com