解析字符串
编辑解析字符串
编辑dissect
处理器使用定义的模式来标记传入的字符串。
processors: - dissect: tokenizer: "%{key1} %{key2} %{key3|convert_datatype}" field: "message" target_prefix: "dissect"
dissect
处理器具有以下配置设置:
-
tokenizer
- 用于定义解析模式的字段。可选的转换数据类型可以在键之后使用
|
作为分隔符,将值从字符串转换为整数、长整数、浮点数、双精度数、布尔值或 IP 地址。 -
field
- (可选)要标记化的事件字段。默认为
message
。 -
target_prefix
- (可选)将提取值的字段名称。当定义为空字符串时,处理器将在事件的根目录创建键。默认为
dissect
。当目标键已存在于事件中时,处理器不会替换它并记录错误;您需要在使用 dissect 之前删除或重命名该键,或启用overwrite_keys
标志。 -
ignore_failure
- (可选)控制当标记器无法匹配消息字段时,处理器是否返回错误的标志。如果设置为 true,处理器将静默恢复原始事件,允许执行后续处理器(如果有)。如果设置为 false(默认),处理器将记录错误,阻止执行其他处理器。
-
overwrite_keys
- (可选)当设置为 true 时,处理器将覆盖事件中现有的键。默认值为 false,这会导致当键已存在时处理器失败。
-
trim_values
-
(可选)启用提取值的修剪。对于删除开头和/或结尾的空格很有用。可能的值为:
-
none
: (默认) 不执行修剪。 -
left
: 值在左侧(开头)进行修剪。 -
right
: 值在右侧(结尾)进行修剪。 -
all
: 值在开头和结尾都进行修剪。
-
-
trim_chars
- (可选)当启用修剪时,要从值中修剪的字符集。默认值是修剪空格字符 (
" "
)。要修剪多个字符,只需将其设置为包含所有要修剪字符的字符串。例如,trim_chars: " \t"
将修剪空格和/或制表符。
为了成功进行标记化,必须找到并提取所有键,如果其中一个键无法找到,将记录错误,并且不会对原始事件进行任何修改。
键可以包含除保留的后缀或前缀修饰符之外的任何字符:/
、&
、+
、#
和 ?
。
有关支持的条件列表,请参见 条件。
解析示例
编辑在此示例中,假设应用程序生成以下消息
"321 - App01 - WebServer is starting" "321 - App01 - WebServer is up and running" "321 - App01 - WebServer is scaling 2 pods" "789 - App02 - Database is will be restarted in 5 minutes" "789 - App02 - Database is up and running" "789 - App02 - Database is refreshing tables"
使用 dissect
处理器将每条消息拆分为三个字段,例如 service.pid
、service.name
和 service.status
processors: - dissect: tokenizer: '"%{service.pid|integer} - %{service.name} - %{service.status}"' field: "message" target_prefix: ""
此配置生成如下字段
"service": { "pid": 321, "name": "App01", "status": "WebServer is up and running" },
service.name
是一个 ECS 关键字字段,这意味着您可以在 Elasticsearch 中使用它进行过滤、排序和聚合。
在可能的情况下,使用与 ECS 兼容的字段名称。有关更多信息,请参阅 Elastic Common Schema 文档。