Logstash Erstellen Sie ein Array von Werten aus der Zeichenfolge

Question

Ich habe eine Reihe von Informationen in meinen Protokollen. Es ist im JSON-Format.

{ 
    "someField":"someValue", 
    "columns":"[colName1, colName2, colName3, ... colNameN]", 
    "someField":"someValue" 
} 

Ich mag diese columns als ein Array in einem gleichen Feld gespeichert werden.

Der Usecase, den ich anzeigen möchte, ist, wie viele Benutzer die bestimmte Spalte colName1 und die Anzahl davon verwendet haben.

Ich bin mit ELK stak 5.x

Answer 1

ich die Lösung haben beide durch Bezugnahme die obigen Antworten. Das habe ich gemacht.

Um [ und ] aus dem String entfernt ich benutzen:

mutate { 
     gsub => ["columns", "[\[\]]", ""] 
    } 

und dann in einem Array zu konvertieren:

mutate { 
     split => { "columns" => "," } 
    } 

Answer 2

Mutate in output.conf könnte Ihnen helfen.

Folgen Sie diesem Link - https://www.elastic.co/guide/en/logstash/current/plugins-filters-mutate.html#plugins-filters-mutate-replace

Obwohl direkte Umwandlung von String-Array wird nicht unterstützt. Ich habe den gleichen Anwendungsfall vor einiger Zeit behandelt, Merge-Funktionalität dafür verwendet. Ich würde vorschlagen, ein Dummy-Feld zu haben und mit 'Spalten' Feld zu verschmelzen, um neues Feld zu erstellen. Hoffe das hilft.

Answer 3

wenn Ihre Quelle direkt json-Format

das Plugin json verwenden ist

filter { 
    json { 
    source => "message" 
    } 
} 

Das Array-Feld wird automatisch

zu Array konvertieren

https://www.elastic.co/guide/en/logstash/current/plugins-filters-json.html