elasticsearch - 如何在ELK Kibana中添加其他字段

Question

我将klkana与ELK一起使用。

我还使用filebeat将数据发送到Logstash。

我创建的看起来像这样

{
    "mappings": {  
    "_default_": {
                   "properties": {
                                 "msg":{"type":"string", "index":"not_analyzed"}
                                 }
                 },
    "log": {
                   "properties": {
                                 "@timestamp":{"type":"date","format":"strict_date_optional_time||epoch_millis"},
                                 "@version":{"type":"string"},
                                 "beat": {
                                     "properties": {
                                           "hostname":{"type":"string"}, 
                                           "name":{"type":"string"},
                                                    }
                                          },
                                 "count":{"type":"long"},
                                 "host":{"type":"string"},
                                 "input_type":{"type":"string"},
                                 "message":{"type":"string"},
                                 "msg":{"type":"string","index":"not_analyzed"},
                                 "offset":{"type":"long"},
                                 "source":{"type":"string"},
                                 "type":{"type":"string"}

                                 }
                 }
              }
}';

我想知道，就像beat一样，主机名和名称也有2个字段。是否可以添加更多字段(例如 environment: dev)，我可以在kibana中看到这些字段，以便我可以基于该字段过滤邮件

Answer 1

是的，您可以在filebeat.yml配置中添加specify additional fields。这些新字段将被创建。您有两个选择，可以指定fields和/或fields_under_root。

如果使用前者(请参见下文)，则带有自定义字段的新fields子组将出现在文档中，并且您将能够在Kibana中使用fields.environment: dev过滤邮件。

fields:
    environment: dev

如果使用后者(请参见下文)，那么您的自定义字段将出现在文档的顶层，并且您将能够在Kibana中使用 environment: dev过滤消息。

fields_under_root: true