从 metricbeat 删除事件不起作用

Question

您能帮我解决有关 metricbeat 的问题吗？ 我试图设置一个新的 drop_events （处理器）但没有成功。 我想删除所有没有“系统”的事件。 请告诉我是否可以这样做？

查看我在 metricbeat.yml 文件中设置的内容

非常感谢您的帮助和时间

drop_event.when:
  not:
    has_fields: ['system']

按照下面的例子：

{
    "@timestamp": "2021-07-13T08:03:27.547Z",
    "@metadata": {
        "beat": "metricbeat",
        "type": "_doc",
        "version": "7.10.0"
    },
    "event": {
        "dataset": "system.diskio",
        "module": "system"
    },
    "metricset": {
        "period": 60000,
        "name": "diskio"
    },
    "fields": {
        "uuid": "*********************************"
    },
    "ecs": {
        "version": "1.6.0"
    },
    "agent": {
        "hostname": "************",
        "ephemeral_id": "****************************",
        "id": "*************************************",
        "name": "***********",
        "type": "metricbeat",
        "version": "7.10.0"
    },
    "service": {
        "type": "system"
    },
    "host": {
        "disk": {
            "read.bytes": 237568,
            "write.bytes": 2743296
        },
        "name": "**********"
    },
    "tag": "metricbeat",
    "customer_id": "3"
}

Answer 1

提供的代码 sn-p 不遵循 https://www.elastic.co/guide/en/beats/metricbeat/current/defining-processors.html 中记录的处理器语法。

根据文档应该是

processors:
  - drop_event:
      when:
        not:
          has_fields: ['system']