Logs Explorer 字段
编辑Logs Explorer 字段
编辑本节列出了Logs Explorer 用于显示数据所需的字段。请注意,一些列出的字段并非ECS 字段。
-
@timestamp
-
事件的产生日期/时间。
这是从事件中提取的日期/时间,通常表示事件由源生成的时刻。如果事件源没有原始时间戳,则此值通常由事件第一次被管道接收的时间填充。所有事件的必填字段。
类型:日期
必填:是
ECS 字段:是
示例:
2020年5月27日 15:22:27.982
-
_doc
-
此字段用于区分具有相同时间戳的两个条目。
必填:是
ECS 字段:否
-
container.id
-
唯一的容器 ID。
类型:keyword
必填:是
ECS 字段:是
示例:
data
-
event.dataset
-
数据集的名称。
如果事件源发布多种类型的日志或事件(例如,访问日志、错误日志),则使用数据集来指定事件来自哪个类型。
建议但不要求数据集名称以模块名称开头,后跟一个点,然后是数据集名称。
类型:keyword
必填:如果您想使用机器学习功能。
ECS 字段:是
示例:
apache.access
-
host.hostname
-
主机名称。
它通常包含主机上
hostname
命令返回的内容。类型:keyword
必填:如果您想启用并使用上下文查看功能。
ECS 字段:是
示例:
Elastic.local
-
host.name
-
主机名称。
它可以包含Unix系统上
hostname
命令返回的内容、完全限定域名或用户指定的名称。发送者决定使用哪个值。类型:keyword
必填:是
ECS 字段:是
示例:
MacBook-Elastic.local
-
kubernetes.pod.uid
-
Kubernetes Pod UID。
类型:keyword
必填:是
ECS 字段:否
示例:
8454328b-673d-11ea-7d80-21010a840123
-
log.file.path
-
此事件来自的日志文件的完整路径,包括文件名。在适当情况下,应包含驱动器号。
如果事件不是从日志文件读取的,则不要填充此字段。
类型:keyword
必填:如果您想使用上下文查看功能。
ECS 字段:是
示例:
/var/log/demo.log
-
message
-
对于日志事件,message 字段包含日志消息,针对在日志查看器中查看进行了优化。
对于没有原始 message 字段的结构化日志,可以将其他字段连接起来,形成事件的可读摘要。
如果存在多个消息,可以将它们组合成一个消息。
类型:文本
必填:是
ECS 字段:是
示例:
Hello World