ELK,萌萌哒

求助!!!logstash解析日志到ES中的问题

Logstash | 作者 zhang0318 | 发布于2018年10月30日 | 阅读数:2562

AAAA|1000,1001,1002,1003|CCCC
mutate{
   split=>["message","|"]
                 add_field => {
                         "aaa" => "%{[message][0]}"
                 }
add_field => {
                         "userIds" => "%{[message][1]}"
                 }
add_field => {
                         "ccc" => "%{[message][2]}"
                 }
  }
这样在ES中只有一条记录,如何才能通过改logstash配置变成4条记录,就是userIds再通过逗号切割,循环插入ES中。求大神!!!
已邀请:

zyy

赞同来自: rochy

可以试试logstash-filter-metricize插件,参考https://www.elastic.co/guide/e ... .html

rochy - rochy_he

赞同来自:

貌似是不可以的,主要是没有这个必要
你可以设置 userIds 字段的分词器为正则分词器 正则为逗号 
这样也可以达到你希望的效果(精确查询单个 userId)

要回复问题请先登录注册