使用Logstash重寫Elasticsearch字段中的_version元數據

Question

我正在使用ELK-Stack導入CSV文件。 每次導入CSV文件時，文檔的“ _version”字段都會增加，這與預期的一樣。 但是，由於_version字段是元數據字段，因此ELK不會對其進行索引。 因此，該字段不可搜索，無法在儀表板中使用。

我創建了第二個logstash配置，其中輸入和輸出均為Elasticsearch。

過濾器配置：

filter {
mutate {
   add_field => {"Version" => "{[@metadata][_version]}"}
 }
}

輸入配置：

input {
elasticsearch {
  hosts => ["localhost:9200"]
  index => "test_csv"
  query => '{"query":{"match_all" : {}}}'
  size => 1000
  scroll => "1s"
  docinfo => true
  docinfo_fields => ["_index", "_type", "_id", "_version"]
  schedule => "/1 * * * *" 
}
}

我無法從_version字段獲取值。 Kibana中的輸出如下所示：

Version         {[@metadata][_version]}

如果我用_id或_index替換過濾器中的_version字段，則會獲得信息。

關於如何從_version字段中獲取價值的任何想法？ 對此事的任何想法都受到高度贊賞。

克洛伊

Answer 1

對於6.4.2版，以下對我有用：

filter {
     mutate {  
         add_field => {"Version" => "%{[@version]}"} 
     }
}