elasticsearch - 如何利用Logstash索引数据，但不从Logstash生成额外字段

Question

我正在测试ElasticSearch以处理大约10亿个小文档(仅8个字段)。当我使用logstash索引数据时，它会添加其他字段，例如“消息”，“@ version”，“@ timestamp”，这些字段对我的情况没有用，并且似乎会占用大量文档大小。有没有办法只索引配置中定义的字段？

Answer 1

是的，只需在Logstash配置中添加以下 mutate filter:

filter {
 mutate {
  remove_field => [ "@version", "@timestamp", "message" ]
 }
}