elasticsearch - 避免从Logstash创建双重映射

Question

我注意到，logstash为从日志文件中提取并发送给 flex 搜索的每个字符串字段在索引映射中创建了一个额外的“关键字”字段。

我已经用prune plugin完全删除了许多字段，但是我不想完全删除其他字段，但是我也不需要为它们添加* .keyword。

有没有办法让logstash仅为某些字段创建* .keyword字段，而不为其他字段创建* .keyword字段？具体来说，是否有办法让logstash具有可以为其创建* .keywords的字段白名单，而不为其他任何内容创建白名单？

(使用elasticsearch 6.x)

Answer 1

我认为您需要更改所需字段的映射。映射页面显示默认的文本类型映射:

https://www.elastic.co/guide/en/elasticsearch/reference/5.5/breaking_50_mapping_changes.html

我试图设置一个没有关键字字段的字段，它起作用了，但是即使您在映射中设置index:true，您也无法在该字段上进行聚合(我尝试了术语聚合)。我可能错过了一些东西，但是我认为这是您应该开始的地方。