在 elasticsearch 中更改 ID

Question

我在使用 ElasticSearch 时遇到问题，如何将 id 更改为日志文件中的另一个字段？

Answer 1

在 elasticsearch 输出中，您可以为要发送的事件设置 document_id。这最终将成为 elasticsearch 中的 _id。您可以使用 logstash 配置中可用的各种参数/字段引用/ ...。像这样：

elasticsearch { 
    host => yourEsHost
    cluster => "yourCluster"
    index => "logstash-%{+YYYY.MM.dd}"
    document_id => "%{someFieldOfMyEvent}"
}

在此示例中，someFieldOfMyEvent 最终成为此事件在 ES 中的 _id。

在 elasticsearch 中更改 ID

Change ID in elasticsearch

elasticsearch

logstash