从事件中替换字段编辑

replace 处理器接受要搜索匹配值的字段列表,并将匹配值替换为指定的字符串。

replace 处理器不能用于创建全新的值。

可以使用此处理器截断字段值或将其替换为新的字符串值。还可以使用此处理器来屏蔽 PII 信息。

示例编辑

以下示例将路径从 /usr/bin 更改为 /usr/local/bin

  - replace:
      fields:
        - field: "file.path"
          pattern: "/usr/"
          replacement: "/usr/local/"
      ignore_missing: false
      fail_on_error: true

配置设置编辑

名称 必需 默认 描述

fields

一个或多个项目的列表。每个项目包含 field: field-namepattern: regex-patternreplacement: replacement-string,其中

  • field 是原始字段名称。可以使用 @metadata. 前缀在此字段中替换事件元数据而不是事件字段中的值。
  • pattern 是用于匹配字段值的正则表达式模式
  • replacement 是用于更新字段值的替换字符串

ignore_missing

false

是否忽略缺失字段。如果为 true,则如果指定字段缺失,则不会记录错误。

fail_on_error

true

如果发生错误,是否失败替换字段值。如果为 true 并且发生错误,则停止替换字段值,并返回原始事件。如果为 false,则即使在替换过程中发生错误,也继续进行替换。

有关支持条件的列表,请参见 条件