通过从Logstash中的两个现有字段提取数据来创建新字段

Question

我从日志中创建了两个字段，如下所示：

names: "LeBron", "Jordan", "Philips", "Samuel"
threepointers: "100", "100", "90", "50"

names和三threepointers都是string类型。 此数据已从日志中提取，日志看起来像这样：

|1 = LeBron| 2 = 100 | 1 = Jordan | 2 = 100 | 1 = Philip | 2 = 90 | 1 = Samuel | 2 = 50 |

在这里我使用kv和field_split, include_keys方法提取所有1和2，然后对这些数字进行mutate以rename其rename为names和三threepointers

我想创建一个新字段-bestplayers，其中包含所有具有三指针= 100的玩家名称。 所以，基本上我想得到这样的结果：

bestplayers: "LeBron", "Jordan"

任何帮助，将不胜感激！ 谢谢

Answer 1

我将把ruby过滤器看做是一个选择。 它允许使用任意的红宝石代码来过滤/修改事件数据。 一旦完成计算并确定了要添加的字段，就可以使用add_field选项执行此操作，并可以使用remove_field选项从事件中删除任何较旧的未汇总/过滤的信息。