将字段评估为 Logstash 过滤器中的表达式

Question

我在 Logstash 事件中有一个自定义字段定义为表达式：

{ "customIndex" => "my-service-%{+YYYY.MM}" }

以及为 elasticsearch 输出插件计算索引名称的过滤器：

filter {
  if [customIndex] {
    mutate {
      add_field => { "indexName" => "custom-%{customIndex}" }
    } 
  } else {
    mutate {
      add_field => { "indexName" => "common-%{+YYYY.MM.dd}" }
    }
  }
}

但对于自定义索引，它会创建 invalid 名称 custom-my-service-%{+YYYY.MM} 并且不会评估 %{+YYYY.MM} 表达式。

是否可以评估字段并获得custom-my-service-2016.11？

Answer 1

如果您可以将创建的字段重新格式化为：

{ "customIndex" => "my-service-%Y.%m" }

那么这个 Ruby 过滤器就可以解决问题：

ruby {
    init => "require 'date'"
    code => "event['indexName'] = 'custom-' + Date.today.strftime(event['customIndex'])"
}

Here 是关于您可以使用的占位符的文档。