Fingerprint 过滤器插件

设置为 true 时，SHA1、SHA256、SHA384、SHA512、MD5 和 MURMUR3_128 指纹方法将生成 base64 编码的字符串，而不是十六进制编码的字符串。

设置为 true 且 method 不是 UUID 或 PUNCTUATION 时，插件会将 source 选项中给出的所有字段的名称和值连接成一个字符串（类似于旧的校验和过滤器），然后再进行指纹计算。

如果为 false 并给出多个源字段，则目标字段将是最后一个源字段的单个指纹。

示例：concatenate_sources=false

此示例生成一个由“birthday”（最后一个源字段）计算的单个指纹。

fingerprint {
  source => ["user_id", "siblings", "birthday"]
}

输出为

"fingerprint" => "6b6390a4416131f82b6ffb509f6e779e5dd9630f".

示例：concatenate_sources=false，带数组

如果最后一个源字段是数组，则会得到一个指纹数组。

在此示例中，“siblings”是一个数组 ["big brother", "little sister", "little brother"]。

fingerprint {
  source => ["user_id", "siblings"]
}

输出为

 "fingerprint" => [
        [0] "8a8a9323677f4095fcf0c8c30b091a0133b00641",
        [1] "2ce11b313402e0e9884e094409f8d9fcf01337c2",
        [2] "adc0b90f9391a82098c7b99e66a816e9619ad0a7"
    ],

设置为 true 且 method 不是 UUID 或 PUNCTUATION 时，插件会将事件的所有字段的名称和值连接成一个字符串（类似于旧的校验和过滤器），然后再进行指纹计算。如果为 false 并且至少给出一个源字段，则目标字段将是一个包含给定源字段指纹的数组。

控制此插件与 Elastic 通用架构 (ECS) 的兼容性。有关详细信息，请参见 事件元数据和 Elastic 通用架构 (ECS)。

与 IPV4_NETWORK 方法一起使用时，请填写子网前缀长度。对于其他方法，可以选择填写 HMAC 密钥。

要使用的指纹方法。

如果设置为 SHA1、SHA256、SHA384、SHA512 或 MD5 并且设置了密钥，则将使用相应的加密哈希函数和带密钥的哈希 (HMAC) 摘要函数来生成指纹。

如果设置为 MURMUR3 或 MURMUR3_128，则将使用非加密 MurmurHash 函数（分别为 32 位或 128 位实现）。

如果设置为 IPV4_NETWORK，则输入数据需要是 IPv4 地址，哈希值将是使用 key 选项中指定的位数屏蔽的地址。例如，如果输入为“1.2.3.4”并且 key 设置为 16，则哈希变为“1.2.0.0”。

如果设置为 PUNCTUATION，则将从输入字符串中删除所有非标点符号字符。

如果设置为 UUID，则会生成一个 UUID。结果将是随机的，因此不是一致的哈希值。

将用于创建指纹的源字段名称。如果给定一个数组，请参见 concatenate_sources 选项。

将存储生成的指纹的字段的名称。该字段的任何当前内容都将被覆盖。

如果此过滤器成功，则将任意字段添加到此事件。字段名称可以是动态的，并使用 %{field} 包含事件的部分。

示例

    filter {
      fingerprint {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      fingerprint {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，如果存在，将添加字段 foo_hello，其值为上述值，并且 %{host} 部分被事件中的该值替换。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则将任意标签添加到事件。标签可以是动态的，并使用 %{field} 语法包含事件的部分。

示例

    filter {
      fingerprint {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      fingerprint {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，将添加标签 foo_hello（当然，第二个示例将添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但您可以为特定插件禁用指标收集。

在插件配置中添加唯一的ID。如果未指定ID，Logstash将生成一个。强烈建议在您的配置中设置此ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有两个fingerprint过滤器。在这种情况下，添加命名ID将有助于在使用监控API监控Logstash时提供帮助。

    filter {
      fingerprint {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并包含使用 %{field} 语法的事件部分。例如

    filter {
      fingerprint {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      fingerprint {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段"somefield" == "hello"，则此过滤器成功后，如果存在，将删除名为foo_hello的字段。第二个示例将删除另一个非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并包含使用%{field}语法的事件部分。

示例

    filter {
      fingerprint {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      fingerprint {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段"somefield" == "hello"，则此过滤器成功后，如果存在，将删除标签foo_hello。第二个示例还将删除一个令人不快的，不需要的标签。