Filebeat fields_under_root 不工作

【问题标题】：Filebeat fields_under_root is not workingFilebeat fields_under_root 不工作
【发布时间】：2018-04-30 12:21:16
【问题描述】：

这是我的 Apache 模块设置

- module: apache2
  access:
    enabled: false
  error:
    enabled: true
    prospector:
       fields:
          beat.name: xxxx
    fields_under_root: true

但是由于我在 Kibana 中查看日志

"fields": {
  "beat": {
    "name": "xxxx"
  }
},
"@version": "1",
"host": "something_else",
"beat": {
  "hostname": "something_else",
  "name": "something_else",
  "version": "6.2.4"
},

根据文档，它说如果我设置fields_under_root: true，它将覆盖现有的根字段。但它似乎没有这样做。

版本

Filebeat 6.2.4
Logstash 6.2.4

【问题讨论】：

标签： elasticsearch logstash filebeat

【解决方案1】：

正如您所发现的，您可以通过将prospector 添加到模块配置来覆盖任何模块的探矿者选项。任何探矿者选项都必须缩进，以便它们成为prospector 的子项。您对fields_under_root 的缩进略有错误。

- module: apache2
  access:
    enabled: false
  error:
    enabled: true
    prospector:
      fields:
        vhost: stackoverflow.com
      fields_under_root: true

但是，您不能使用 fields 覆盖 beat.name。设置此值的唯一方法是将name: xxxx 添加到您的 filebeat.yml。

参考资料：

【讨论】：