Logs Explorer 字段

编辑

本节列出了Logs Explorer 用于显示数据所需的字段。请注意,一些列出的字段并非ECS 字段

@timestamp

事件的产生日期/时间。

这是从事件中提取的日期/时间,通常表示事件由源生成的时刻。如果事件源没有原始时间戳,则此值通常由事件第一次被管道接收的时间填充。所有事件的必填字段。

类型:日期

必填:是

ECS 字段:是

示例:2020年5月27日 15:22:27.982

_doc

此字段用于区分具有相同时间戳的两个条目。

必填:是

ECS 字段:否

container.id

唯一的容器 ID。

类型:keyword

必填:是

ECS 字段:是

示例:data

event.dataset

数据集的名称。

如果事件源发布多种类型的日志或事件(例如,访问日志、错误日志),则使用数据集来指定事件来自哪个类型。

建议但不要求数据集名称以模块名称开头,后跟一个点,然后是数据集名称。

类型:keyword

必填:如果您想使用机器学习功能。

ECS 字段:是

示例:apache.access

host.hostname

主机名称。

它通常包含主机上hostname命令返回的内容。

类型:keyword

必填:如果您想启用并使用上下文查看功能。

ECS 字段:是

示例:Elastic.local

host.name

主机名称。

它可以包含Unix系统上hostname命令返回的内容、完全限定域名或用户指定的名称。发送者决定使用哪个值。

类型:keyword

必填:是

ECS 字段:是

示例:MacBook-Elastic.local

kubernetes.pod.uid

Kubernetes Pod UID。

类型:keyword

必填:是

ECS 字段:否

示例:8454328b-673d-11ea-7d80-21010a840123

log.file.path

此事件来自的日志文件的完整路径,包括文件名。在适当情况下,应包含驱动器号。

如果事件不是从日志文件读取的,则不要填充此字段。

类型:keyword

必填:如果您想使用上下文查看功能。

ECS 字段:是

示例:/var/log/demo.log

message

对于日志事件,message 字段包含日志消息,针对在日志查看器中查看进行了优化。

对于没有原始 message 字段的结构化日志,可以将其他字段连接起来,形成事件的可读摘要。

如果存在多个消息,可以将它们组合成一个消息。

类型:文本

必填:是

ECS 字段:是

示例:Hello World