elasticsearch消息字段值

时间:2014-02-25 22:33:29

标签: elasticsearch logstash kibana

我正在向json发送logstash条消息,并由elasticsearch编入索引,并设法在Kibana中设置用户界面信息中心。我想通过消息字段过滤数据,但无法弄清楚如何或在何处执行此操作。我的消息的一个例子:

{"message":"{"pubDate":"2014-02-25T13:09:14",
 "scrapeDate":"2014-02-5T13:09:26",
 "Id":"78967",
 "query":"samsung S5",
 "lang":"en"}

现在它会计入所有这些消息,但我需要按字段本身过滤每条消息,例如Idlangquery。 这是否必须在配置文件中完成,还是可以在Kibana界面中创建。

1 个答案:

答案 0 :(得分:3)

首先,我假设您的json消息是

{
   "pubDate":"2014-02-25T13:09:14",
   "scrapeDate":"2014-02-5T13:09:26",
   "Id":"78967",
   "query":"samsung S5",
   "lang":"en"
}

当您将邮件发送到logstash时,您需要将编解码器指定为json 。如下面的配置所示:

input {
    stdin {
            codec => json
    }
}

output {
    elasticsearch {
            cluster => "abc"
    }
}

Logstash会将您的消息解析到不同的字段,如输出:

{
   "pubDate" => "2014-02-25T13:09:14",
"scrapeDate" => "2014-02-5T13:09:26",
        "Id" => "78967",
     "query" => "samsung S5",
      "lang" => "en",
  "@version" => "1",
"@timestamp" => "2014-02-26T01:36:15.336Z",
      "host" => "AAAAAAAAAA"
 } 

在Kibana中显示此数据时,您可以使用fieldname:value来查询和过滤所需内容。例如,您可以使用lang:en查询所有邮件。