auswerten Feld als Ausdruck in Logstash filtern

Question

ich ein benutzerdefiniertes Feld in Logstash Ereignisse habe als Ausdruck definiert:

{ "customIndex" => "my-service-%{+YYYY.MM}" } 

Und Filter, die Indexnamen für Elasticsearch Ausgabe-Plugin berechnet:

filter { 
    if [customIndex] { 
    mutate { 
     add_field => { "indexName" => "custom-%{customIndex}" } 
    } 
    } else { 
    mutate { 
     add_field => { "indexName" => "common-%{+YYYY.MM.dd}" } 
    } 
    } 
} 

Aber für benutzerdefinierte Index erstellt ungültig Name custom-my-service-%{+YYYY.MM} und bewertet nicht %{+YYYY.MM} Ausdruck.

Ist es möglich, Feld auszuwerten und custom-my-service-2016.11 zu erhalten?

Answer 1

Wenn Sie Ihr erstelltes Feld diese umformatieren:

{ "customIndex" => "my-service-%Y.%m" } 

Dann ist dieser Ruby-Filter den Trick:

ruby { 
    init => "require 'date'" 
    code => "event['indexName'] = 'custom-' + Date.today.strftime(event['customIndex'])" 
} 

Here ist eine Dokumentation über Platzhalter können Sie verwenden.