splunk - 我们可以在 splunk 中只索引 json 日志文件的一个字段吗

Question

在 EKS 中运行应用程序时，容器日志的格式为：

{ log: 2021-08-04 12:28:24,803INFO hostname com.application.RequestListener Sent response with request_id=1 stream: stdout time: 2021-08-04T12:28:24.803533339Z }

因为我只对与日志相关的值感兴趣，所以如果有办法我只能提取：

2021-08-04 12:28:24,803INFO hostname com.application.RequestListener Sent response with request_id=1

我尝试设置源以登录 output.conf，但是，这似乎不起作用，我仍然在 splunk 搜索头中获得 json 格式