从 Elasticsearch 中删除主机信息

Question

我通过 filebeat 将一些日志上传到 elastic，但是我的原始日志中添加了一些其他信息，例如 host 名称，os 内核和其他关于 h[=19 的信息=]t...，主消息变得无格式，我想删除所有不需要的字段，只保留初始形式的原始消息。

我已尝试从 filebeat.yml 中删除 add_host_metadata，但问题仍然存在。

我正在 windows 上与 elk 合作。

Answer 1

您可以使用 include_fields 处理器 enter link description here 或者您可以对不需要的字段使用 drop_fields。 Filebeat 有时会加入 host，或者 log 等字段，可以去掉。有一些 但是不能删除。