通过从Logstash

Question

我在日志中创建了两个字段，如下所示：

names: "LeBron", "Jordan", "Philips", "Samuel"
threepointers: "100", "100", "90", "50"

names和threepointers都属于string类型。此数据已从日志中提取，日志如下所示：

|1 = LeBron| 2 = 100 | 1 = Jordan | 2 = 100 | 1 = Philip | 2 = 90 | 1 = Samuel | 2 = 50 |

我使用kv和field_split, include_keys方法提取所有1和2，然后使用这些数字mutate将rename提取到names和{{ 1}}

我想创建一个新的领域 - 最佳玩家包含所有那些只有三个指针= 100的玩家名称。 所以，基本上我想得到这样的结果：

threepointers

任何帮助将不胜感激！感谢

Answer 1

我会将ruby filter视为此选项。它允许使用任意ruby代码来过滤/修改事件数据。完成计算并确定要添加的字段后，可以使用add_field选项执行此操作，使用remove_field选项删除事件中任何较旧的未聚合/过滤信息。