Из данной области, в зависимости от содержания, mofify его и хранить его в различных новых областях

Question

Я создал эту новую тему, чтобы избежать путаницы, но это связано со следующей темой, которая была решена:

Modify the content of a field using logstash

Допустим, что в поле называется code содержание также слова, как: notification или mountain, и я хотел бы создать еще одно поле называется code_word хранить эти слова.

Итак, из поля code в базе данных, в зависимости от его содержания, оно создало бы code_short и code_word.

Я пытался что-то вроде этого:

grok { 
    match => { "code" => "(?<prefix>[a-zA-Z]+)000000%{INT:suffix} %{WORD:word}" } 
    add_field => { "code_short" => "%{prefix}%{suffix}"} 
    add_field => { "code_word" => "%{word}"} 
} 

но явно не работает: _grokparsefailure.

Я не уверен, как это сделать, мне интересно, можно ли это сделать с помощью условного типа «если».

Это выход:

{ 
    "took": 5, 
    "timed_out": false, 
    "_shards": { 
     "total": 5, 
     "successful": 5, 
     "failed": 0 
    }, 
    "hits": { 
     "total": 43, 
     "max_score": 1, 
     "hits": [ 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg75", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.360Z", 
       "code": "molfix-oat", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg77", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.365Z", 
       "code": "PO0000002221", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8C", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.372Z", 
       "code": "ST0000003302", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8K", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.382Z", 
       "code": "notifications-set", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8M", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.384Z", 
       "code": "PO0000001111", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8N", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.385Z", 
       "code": "PO0000000808", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8R", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.388Z", 
       "code": "TT0000000009", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8U", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.391Z", 
       "code": "ST0000001113", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8c", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.398Z", 
       "code": "test/bin/UT0", 
       "@version": "1", 
       "tags": [] 
      } 
     }, 
     { 
      "_index": "test1", 
      "_type": "data", 
      "_id": "AVo3yno0PoyZlwFEpg8g", 
      "_score": 1, 
      "_source": { 
       "@timestamp": "2017-02-13T14:05:00.400Z", 
       "code": "PO0000001203", 
       "@version": "1", 
       "tags": [] 
      } 
     } 
     ] 
    } 
} 

Answer 1

Самый простой способ это сделать, чтобы обнаружить grokparsefailure тег и присвоить значение code_word вместо:

grok { 
    match => { "code" => "(?<prefix>[a-zA-Z]+)000000%{INT:suffix}" } 
    add_field => { "code_short" => "%{prefix}%{suffix}"} 
} 
if "_grokparsefailure" in [tags] { 
    mutate { 
     add_field => { "code_word" => "%{code}"} 
     remove_field => ["tags"] 
    } 
}