AAAA|1000,1001,1002,1003|CCCC
mutate{
split=>["message","|"]
add_field => {
"aaa" => "%{[message][0]}"
}
add_field => {
"userIds" => "%{[message][1]}"
}
add_field => {
"ccc" => "%{[message][2]}"
}
}
这样在ES中只有一条记录,如何才能通过改logstash配置变成4条记录,就是userIds再通过逗号切割,循环插入ES中。求大神!!!
mutate{
split=>["message","|"]
add_field => {
"aaa" => "%{[message][0]}"
}
add_field => {
"userIds" => "%{[message][1]}"
}
add_field => {
"ccc" => "%{[message][2]}"
}
}
这样在ES中只有一条记录,如何才能通过改logstash配置变成4条记录,就是userIds再通过逗号切割,循环插入ES中。求大神!!!
2 个回复
zyy
赞同来自: rochy
rochy - rochy_he
赞同来自:
你可以设置 userIds 字段的分词器为正则分词器 正则为逗号
这样也可以达到你希望的效果(精确查询单个 userId)