ELK 堆棧中的新字段 - logstash

Question

我正在創建新字段並從現有字段復制數據：

mutate {
  add_field => { "NewField" => "%{[Old][Field]}" }
}

我遇到的問題是，在此復制操作之前，OldField 以這種方式在 kibana 中很好地呈現：

{
  "message": "1"
}
{
  "message": "2"
}
{
  "message": "3"
}
{
  "message": "4"
}

復制后NewField代表一行數據：

{message=1},{message=2},{message=3},{message=4}

有沒有辦法保留原始格式？ 舊字段是 JSON 數組，新字段是文本。

謝謝！

Answer 1

您是否嘗試過使用copy而不是add_field ？

mutate {
  copy => { "[Old][Field]" => "[NewField]" }
}