在elasticsearch中更改ID

Question

我在使用ElasticSearch时遇到问题,如何更改id日志文件中的其他字段？

Answer 1

在elasticsearch输出中,您可以为要发送的事件设置document_id.这最终将成为elasticsearch中的_id.您可以使用logstash配置中提供的所有类型的参数/字段引用/ .... 像这样:

elasticsearch { 
    host => yourEsHost
    cluster => "yourCluster"
    index => "logstash-%{+YYYY.MM.dd}"
    document_id => "%{someFieldOfMyEvent}"
} 

在此示例中,someFieldOfMyEvent最终成为ES中此事件的_id.