Logstash 变异

Question

我正在设置 ELK stack，以下设置

mutate {
  id => "adding_fields"
  add_field => {
    "host" => "foo-%{[beat][version]} baz"
    "custom" => "Hello, 1+%{host}+2"
  }
}

mutate {
  remove_field => [ "host" ]
}

最终在 custom 字段中包含以下字段内容：

Hello, 1-name,ip-192-168-92-212,foo-6.4.2 baz-2.

这是怎么发生的？ 我只解释了：Hello, 1+foo-6.4.2 baz+2

字段的开头从哪里来？

beat 字段包含以下数据：

beat.name          |  beat.hostname      |  beat.version
ip-192-168-92-212  |  ip-192-168-92-212  |  6.4.2

Answer 1

我将 host 字段重命名为 myHost 然后 custom 字段变成了我所期望的。

看起来 host 变量已经存在 - 但作为隐藏字段或其他东西 - 但它没有发送到 ES。