Logstash 从现有的 json 创建新的 json

Question

我正在获取这种格式的数据：

{
    "a": "1",
    "b": "2"
}

我希望它更改为：

{
    data: {
        "a": "1",
        "b": "2"
    }
}

我可以使用 mutate 过滤器来改变它：

mutate {
     rename => {
        "[a]" => "[data][a]"
        "[b]" => "[data][b]"
    }
}

但在这里我必须单独重命名每个字段。

有没有办法可以在数据字段中移动整个传入消息，例如：

rename => {"[entite_message]" => "[data][entire_message]"}

Answer 1

您可以使用Events API 和ruby filter 来实现此目的。

添加下面的 ruby​​ 块应该可以解决问题。

ruby {
    code => '
        # Move everything to data
        event.set("data", event.to_hash)

        # Remove fields other than data
        fields = event.to_hash.keys
        fields.each{|field|
            if (field != "data")
                event.remove(field)
            end
        }
    '
}