我可以从Logstash中删除消息字段吗？

Question

我有一个基本的Logstash - > Elasticsearch设置,事实证明在logstash过滤器完成其工作后不需要'message'字段 - 将此原始消息字段存储到elasticsearch只是将不必要的数据添加到存储imo.

我可以安全地删除这个字段吗？它会给ES带来麻烦吗？欢迎提出建议或阅读,谢谢大家.

Answer 1

不,它不会给ES造成任何麻烦.如果message字段是冗余或未使用,则可以删除该字段.

您可以将此过滤器添加到过滤器的末尾.

mutate
{
     remove_field => [ "message" ]
}

Answer 2

您也可以在json过滤器中执行此操作.

filter {
  json {
    source => "message"
    remove_field => ["message"]
  }
}