logstash如何更新弹性搜索中具有相同ID的相同记录

Question

我对 logstash 如何使用相同的 document_id 更新弹性搜索索引中的现有记录有疑问，并且它作为数据库 (ES-LS-DB) 的计划作业执行。 logstash 是删除索引中的所有记录并重新插入所有记录还是仅通过匹配文档 id 更新更新的记录？ (此文档id是从数据库中获取的)

Answer 1

在配置文件的过滤器中使用替换： 值类型是散列 此设置没有默认值。 用新值替换字段。新值可以包含 %{foo} 字符串，以帮助您从事件的其他部分构建新值。

示例：

filter {
  mutate {
    replace => { "message" => "%{source_host}: My new message" }
  }
}