添加字段

add_fields 处理器会向事件添加字段。字段可以是标量值、数组、字典或这些元素的任意嵌套组合。如果目标字段已存在，则 add_fields 处理器会覆盖它。默认情况下，您指定的字段会分组到事件中的 fields 子字典下。要将字段分组到不同的子字典下，请使用 target 设置。要将字段存储为顶层字段，请设置 target: ''。

此配置

- add_fields:
    target: project
    fields:
      name: myproject
      id: '574734885120952459'

将这些字段添加到任何事件

{
  "project": {
    "name": "myproject",
    "id": "574734885120952459"
  }
}

此配置更改事件元数据

- add_fields:
    target: '@metadata'
    fields:
      op_type: "index"

当事件被 Elasticsearch 摄入时，该文档将设置 op_type: "index" 作为元数据字段。