配置Logstash仅包含某些字段

Question

使用filter，mutate和remove_field，可以将Logstash配置为从输出中排除某些字段。

但是，如果只知道要包含的字段的名称，并且想要排除所有其他字段（前面​​不知道的字段的名称），该怎么办？怎么可以这样做？

由于

Answer 1

您可以使用ruby filter：

filter {
  ruby {
    code => "
      wanted_fields = ['message', 'foo']
      event.to_hash.keys.each { |k|
        event.remove(k) unless wanted_fields.include? k
      }
    "
  }
}

相关：

• Remove Field from event by pattern