logstash - logstash 如何在具有相同 ID 的弹性搜索中更新相同记录

Question

我对logstash如何使用相同的document_id更新弹性搜索索引中的现有记录有疑问，并且它作为带有数据库（ES-LS-DB）的计划作业执行。logstash 是删除索引中的所有记录并重新插入所有记录，还是仅通过匹配文档 ID 来更新更新的记录？（此文档 ID 来自数据库）

Answer 1

在配置文件的过滤器中使用替换：值类型是哈希 此设置没有默认值。用新值替换字段。新值可以包含 %{foo} 字符串，以帮助您从事件的其他部分构建新值。

例子：

filter {
  mutate {
    replace => { "message" => "%{source_host}: My new message" }
  }
}