Thay đổi ID trong elasticsearch

Question

Tôi đang gặp sự cố với ElasticSearch, làm cách nào tôi có thể thay đổi id thành một trường khác trong tệp nhật ký?

Answer 1

Trong đầu ra elasticsearch, bạn có thể đặt document_id cho sự kiện bạn đang vận chuyển. Điều này sẽ kết thúc là _id trong elasticsearch. Bạn có thể sử dụng tất cả các loại tham số/tham chiếu trường/... có sẵn trong cấu hình logstash. Giống như vậy:

elasticsearch { 
    host => yourEsHost 
    cluster => "yourCluster" 
    index => "logstash-%{+YYYY.MM.dd}" 
    document_id => "%{someFieldOfMyEvent}" 
} 

Trong ví dụ này someFieldOfMyEvent kết thúc bằng _id của sự kiện này trong ES.