ELK 堆栈中的新字段 - logstash

Question

我正在创建新字段并从现有字段复制数据：

mutate {
  add_field => { "NewField" => "%{[Old][Field]}" }
}

我遇到的问题是，在此复制操作之前，OldField 以这种方式在 kibana 中显示得很好：

{
  "message": "1"
}
{
  "message": "2"
}
{
  "message": "3"
}
{
  "message": "4"
}

复制后NewField代表一行数据：

{message=1},{message=2},{message=3},{message=4}

有没有办法保持原来的格式？旧字段是 JSON 数组，新字段是文本。

谢谢！

Answer 1

您是否尝试过使用 copy 而不是 add_field？

mutate {
  copy => { "[Old][Field]" => "[NewField]" }
}

New field in ELK stack - logstash