› ›

用户字段

用户字段编辑

用户字段描述了与事件相关的用户信息。

字段可以包含一个条目或多个条目。如果用户有多个 ID，请提供包含所有 ID 的数组。

字段	描述	级别
user.domain	用户所属目录的名称。例如，LDAP 或 Active Directory 域名。类型: keyword	扩展
user.email	用户电子邮件地址。类型: keyword	扩展
user.full_name	用户的全名（如果可用）。类型: keyword 多字段 user.full_name.text (类型: match_only_text) 示例: `Albert Einstein`	扩展
user.hash	用于以匿名形式关联用户信息的唯一用户哈希值。如果 `user.id` 或 `user.name` 包含机密信息且不能使用，则很有用。类型: keyword	扩展
user.id	用户的唯一标识符。类型: keyword 示例: `S-1-5-21-202424912787-2692429404-2351956786-1000`	核心
user.name	用户的简称或登录名。类型: keyword 多字段 user.name.text (类型: match_only_text) 示例: `a.einstein`	核心
user.roles	事件发生时用户的角色数组。类型: keyword 注意: 此字段应包含一个值数组。示例: `["kibana_admin", "reporting_user"]`	扩展

预计 user 字段将嵌套在以下位置

另请注意，user 字段可以直接在事件的根目录下使用。

有关用户字段的使用和示例，请参阅用户字段使用和示例部分。