删除 ElasticSearch 中不需要的字段

Question

我们正在通过 logstash 填充 Elasticsearch。问题是我看到了一些我想删除的不必要的字段，例如：

@version
file
geoip
host
message
offset
tags

是否可以通过 defining/extending 动态模板来实现？如果是，如何？如果没有，我们可以通过 logstash 配置来做到这一点吗？

非常感谢您的帮助。

Answer 1

您实际上可以使用任何 logstash 过滤器删除字段 - 当过滤器成功时，它将删除该字段。

对我来说使用 mutate 很有意义：

filter {
    mutate {
        remove_field => [ "file" ]
    }
}

也就是说，这些字段中的大多数都非常有用，确实不应删除。