为什么图标识别字段是'？'而不是像官方的例子那样？

Question

我是Kibana的新人。

我有以下问题：我通过logstash发送到elasticsearch的字段在“Visualizes”的许多情况下无法使用，我注意到它们标有“？”而不是官方领域的't'。

根据官方字段，我指的是

定义的字段

filter => {message => "%{COMBINEDAPACHELOG}"}

在logstash.conf上。

当我使用时：

filter => {"message" => "%{TIMESTAMP_ISO8601:timelog} %{INT:id} %{QUOTEDSTRING:status} %{NUMBER:rkey} %{QUOTEDSTRING:origin} %{QUOTEDSTRING:resource} %{QUOTEDSTRING:result} %{QUOTEDSTRING:statuselastic} %{QUOTEDSTRING:statusmongo} %{QUOTEDSTRING:statusmkp} %{QUOTEDSTRING:my_message} %{TIMESTAMP_ISO8601:created_at} %{TIMESTAMP_ISO8601:last_update}"}

所以，我的字段标有'？'并且不能用于“可视化”。

这是印刷品：

我已经尝试使用“mapping”来设置“type”属性。但没有成功。 我尝试编辑“管理”字段 - ＆gt; “索引模式”也是，但标有“？”的字段也不存在。

Answer 1

进入索引设置并点击右上角的重新加载按钮（红色垃圾桶旁边 - 如果将鼠标悬停在其上，则显示刷新字段列表）。如果在将字段添加到kibana后将字段添加到索引，则kibana不会自动查看新字段。你必须让它知道事情发生了变化。