elasticsearch 将日志存储配置为仅包含某些字段

使用

filter

、

mutate

和

remove_field

，可以将Logstash con配置为从输出中排除某些字段

但是，如果一个人只知道要包含的字段的名称，而想排除所有其他字段（事先不知道的名称），该怎么办呢。这怎么可能呢

谢谢

您可以使用：

相关的：

filter {
  ruby {
    code => "
      wanted_fields = ['message', 'foo']
      event.to_hash.keys.each { |k|
        event.remove(k) unless wanted_fields.include? k
      }
    "
  }
}