elastic-stack - Filebeat 中未显示自定义字段名称

Question

以下是我如何尝试在我的 filebeat 7.2.0 filebeat.inputs 中添加自定义字段名称：

- type: log
  enabled: true
  paths:
    - D:\Oasis\Logs\Admin_Log\*
    - D:\Oasis\Logs\ERA_Log\*
    - D:\OasisServices\Logs\*
  processors:
- add_fields:
     fields:
     application: oasis

有了这个，我期待一个名为的新字段application，其数据条目将是'oasis'。但我没有得到任何。我也试过

 fields:
    application: oasis/'oasis'

帮我解决这个问题。

Answer 1

有两种方法可以在 filebeat 上添加自定义字段，使用fields选项和使用add_fields处理器。

要使用该选项添加字段fields，您的配置需要类似于以下配置。

filebeat.inputs:
- type: log 
  paths:
    - 'D:/path/to/your/files/*'
  fields:
    custom_field: 'custom field value'
  fields_under_root: true

要使用处理器添加字段add_fields，您可以尝试以下配置。

filebeat.inputs:
- type: log 
  paths:
    - 'D:/path/to/your/files/*'
processors:
- add_fields:
    target: ''
    fields:
      custom_field: 'custom field value'

两种配置都将创建一个以文档根目录中custom_field的值命名的字段。custom field value

该fields选项可用于每个输入，add_fields 处理器应用于 filebeat 实例导出的所有数据。

请记住要注意配置的缩进，如果错误，filebeat 将无法正常工作甚至无法启动。

Answer 2

如果要为每个日志添加自定义字段，则应将“字段”配置放在type的同一级别。尝试以下操作：

- type: log
  enabled: true
  paths:
    - D:\Oasis\Logs\Admin_Log\*
    - D:\Oasis\Logs\ERA_Log\*
    - D:\OasisServices\Logs\*
  fields.application: oasis