Logstash-使用Memorize插件

Question

嘗試使用“記憶”插件，如下所示：

            if [message] =~ /matching event/ {

                grok {
                    match => [ "message", "%{mymatch:datetime}" ]
                }

                memorize {
                    field => [datetime]
                }
            }

            if [message] =~ /another event/ {
                mutate {
                    add_field => {
                        datetime => "%{datetime}"
                    }
                }
            }

將添加一個名為datetime的字段，但該字段僅包含文本“％{datetime}”。 顯然，我使用的插件不正確。 有人可以建議如何參考存儲的值嗎？

謝謝。

Answer 1

插件的工作方式如下：

        if [message] =~ /matching event/ {
            grok {
                match => [ "message", "%{mymatch:datetime}" ]
            }
        }
        # either save the datetime or add it based on last value
        memorize {
           field => 'datetime'
           default => '00:00:00'
        }

        if [message] =~ /another event/ {
            # datetime has already been added based on the above line
        }