转换过滤器插件

当在 logstash 过滤器配置项中指定时（即不使用 dictionary_path 文件），用于转换的字典。

示例

    filter {
      translate {
        dictionary => {
          "100"         => "Continue"
          "101"         => "Switching Protocols"
          "merci"       => "thank you"
          "old version" => "new version"
        }
      }
    }

外部字典文件的完整路径。表的格式应为标准 YAML、JSON 或 CSV。

在引号中指定任何基于整数的键。从事件的 source 设置中获取的值将转换为字符串。查找字典键也必须是字符串，并且引号使基于整数的键充当字符串。例如，YAML 文件应如下所示

    "100": Continue
    "101": Switching Protocols
    merci: gracias
    old version: new version

当前支持的格式为 YAML、JSON 和 CSV。格式选择基于文件扩展名：JSON 为 json，YAML 为 yaml 或 yml，CSV 为 csv。CSV 格式需要恰好两列，第一列用作原始文本（查找键），第二列用作转换。

控制此插件与Elastic Common Schema (ECS)的兼容性。此设置的值会影响target的默认值。

当 exact => true 时，转换过滤器将使用字典值的确切内容填充目标字段。当 exact => false 时，过滤器将使用任何现有目标字段的数据结果填充目标字段，并将转换后的值就地替换。

例如，考虑这个简单的 translation.yml，配置为检查 data 字段

    foo: bar

如果 logstash 收到一个 data 字段设置为 foo 的事件，并且 exact => true，则目标字段将使用字符串 bar 填充。如果 exact => false，并且 logstash 收到相同的事件，则目标字段也将设置为 bar。但是，如果 logstash 收到一个 data 字段设置为 foofing 的事件，则目标字段将设置为 barfing。

如果您想使用字典键作为正则表达式进行匹配，请同时设置 exact => true 和 regex => `true。在这种情况下，匹配大型字典可能会很昂贵。

如果事件中没有发生转换（没有匹配），这将添加一个默认转换字符串，如果匹配失败，该字符串将始终填充 field。

例如，如果我们使用以下字典配置 fallback => "no match"

    foo: bar

然后，如果 logstash 收到一个 foo 字段设置为 bar 的事件，则目标字段将设置为 bar。但是，如果 logstash 收到一个 foo 设置为 nope 的事件，则目标字段仍将填充，但值为 no match。此配置可以是动态的，并使用 %{field} 语法包含事件的各个部分。

当您需要执行充实的值是可变大小的数组时，请在此设置中指定字段名称。此设置引入两种模式，1) 当值是字符串数组时，2) 当值是对象数组时（如 JSON 对象）。
在第一种模式下，您应该在 source 和 iterate_on 中具有相同的字段名称，结果将是一个添加到 target 设置中指定的字段的数组。此数组将在每个搜索值的相同序数位置具有查找的值（或 fallback 值或 nil）。
在第二种模式下，在 iterate_on 中指定具有对象数组的字段，然后使用 source 指定每个对象中提供搜索值的字段，并使用 target 指定要将查找的值（或 fallback 值）写入的字段。

对于以下字典

  100,Yuki
  101,Rupert
  102,Ahmed
  103,Kwame

模式 1 示例

    filter {
      translate {
        iterate_on => "[collaborator_ids]"
        source     => "[collaborator_ids]"
        target     => "[collaborator_names]"
        fallback => "Unknown"
      }
    }

之前

  {
    "collaborator_ids": [100,103,110,102]
  }

之后

  {
    "collaborator_ids": [100,103,110,102],
    "collabrator_names": ["Yuki","Kwame","Unknown","Ahmed"]
  }

模式 2 示例

    filter {
      translate {
        iterate_on => "[collaborators]"
        source     => "[id]"
        target     => "[name]"
        fallback   => "Unknown"
      }
    }

之前

  {
    "collaborators": [
      {
        "id": 100
      },
      {
        "id": 103
      },
      {
        "id": 110
      },
      {
        "id": 101
      }
    ]
  }

之后

  {
    "collaborators": [
      {
        "id": 100,
        "name": "Yuki"
      },
      {
        "id": 103,
        "name": "Kwame"
      },
      {
        "id": 110,
        "name": "Unknown"
      },
      {
        "id": 101,
        "name": "Rupert"
      }
    ]
  }

如果目标（或目标）字段已存在，此配置选项控制过滤器是跳过转换（默认行为）还是使用新的转换值覆盖目标字段值。

如果是原地转换，即 target 与 source 相同（例如启用 ecs_compatibility 时），则允许覆盖。

当使用字典文件时，此设置将指示 Logstash 检查字典文件更新的频率（以秒为单位）。
值为零或小于零将禁用刷新。

要将字典键视为正则表达式，请设置 regex => true。

请务必转义字典键字符串以用于正则表达式。有关正则表达式格式的资源可在网上找到。

当使用字典文件时，此设置指示如何执行更新。将其设置为 merge 会导致新字典合并到旧字典中。这意味着相同的条目将被更新，但之前存在但新字典中不存在的条目将在合并后保留；replace 会导致整个字典被新字典替换（在更新时删除旧字典的所有条目）。

Logstash 事件字段的名称，该字段包含要由转换过滤器比较以进行匹配的值（例如 message、host、response_code）。

如果此字段是数组，则只会使用第一个值。

您希望使用转换后的代码填充的目标字段。如果您将此值设置为与 source 字段相同的值，则插件将执行替换，并且过滤器将成功。这将覆盖源字段的旧值！

dictionary_path 中 YAML 文件中的最大代码点数。请注意，字节限制取决于编码。此设置仅对 YAML 文件有效。超过限制的 YAML 将抛出异常。

如果此过滤器成功，则向此事件添加任意字段。字段名称可以是动态的，并使用 %{field} 包含事件的部分内容。

示例

    filter {
      translate {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      translate {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并且 %{host} 部分将替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则向事件添加任意标记。标记可以是动态的，并使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      translate {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      translate {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加标记 foo_hello（第二个示例当然会添加一个 taggedy_tag 标记）。

禁用或启用此特定插件实例的指标记录。默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个 ID。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有两个转换过滤器。在这种情况下添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      translate {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并使用 %{field} 包含事件的部分内容。示例

    filter {
      translate {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      translate {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名称为 foo_hello 的字段（如果存在）。第二个示例将删除一个额外的非动态字段。

如果此过滤器成功，则从此事件中删除任意标记。标记可以是动态的，并使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      translate {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      translate {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标记 foo_hello（如果存在）。第二个示例也将删除一个不想要的标记。