配置Logstash僅包含某些字段

Question

使用filter ， mutate和remove_field ，可以將Logstash配置為從輸出中排除某些字段。

但是，如果只知道要包含的字段的名稱，並且想要排除所有其他字段（前面​​不知道的字段名稱），該怎么辦？ 怎么可以這樣做？

謝謝

Answer 1

您可以使用紅寶石過濾器 ：

filter {
  ruby {
    code => "
      wanted_fields = ['message', 'foo']
      event.to_hash.keys.each { |k|
        event.remove(k) unless wanted_fields.include? k
      }
    "
  }
}

有關：

• 從模式中刪除事件