Templates 多索引日志存储模板

由于我们使用的服务器用途不同，我们将FIlebeat配置为将日志发送到每台服务器的一个特定索引。 贝塔指数：贝塔 测试指标：测试 建造索引：詹金斯

所有的过滤器都工作正常，但试图获取.raw字段。我认为模板配置不正确。现在我面临着一个艰难的时刻，因为似乎每个人都只使用logstash-index

我的输出是：

output {
  elasticsearch {
    hosts => ["172.31.28.8:9200"]
    manage_template => false
    index => "%{[@metadata][beat]}-%{+YYYY.MM.dd}"
    document_type => "%{[@metadata][type]}"
  }
}

---

此外，我安装了filebeat模板，但它仍然在等待“filebeat-”索引，而不是我创建的索引。

我感觉这是因为您的manage\u template=false设置。您是否正在创建自己的索引模板？如果没有，请尝试允许Elasticsearch为您管理模板

.raw字段不是该字段的分析版本。将分析字符串映射的默认设置（而不会分析long、date等的默认设置）。默认情况下，字符串有一个已分析的主字段和一个未分析的（.raw）字段

---

我觉得这是因为您的manage\u template=false设置。您是否正在创建自己的索引模板？如果没有，请尝试允许Elasticsearch为您管理模板

.raw字段不是该字段的分析版本。将分析字符串映射的默认设置（而不会分析long、date等的默认设置）。默认情况下，字符串有一个已分析的主字段和一个未分析的（.raw）字段

---

问题是什么？当索引不同于logstash或filebeat时，如何获取未分析字段或.raw。但我昨天在发现Kibana的“Sense”应用程序时得到了解决方案。虽然geogash不起作用。问题是什么？当指数不同于logstash或filebeat时，如何获得未分析的字段或原始数据。但我昨天在发现Kibana的“Sense”应用程序时得到了解决方案。虽然geogash不起作用。是的，我将manage_模板更改为true。此外，我还添加了filebeat模板的编辑版本，并使用

curl-XPUT'将其添加到elasticsearch中http://localhost:9200/_template/beta'-d@/etc/filebeat/filebeat.template.json

要轻松创建模板，请使用前面的代码复制filebeat模板，您只需修改json文件，将模板“filebeat-”更改为“beta-”（或以任何方式调用索引），并对每个索引重复相同的过程。现在我有了我需要的未分析字符串，我没有得到额外的.raw字段，尽管你有没有尝试在Kibana中重新加载你的索引字段列表？（假设您在Kibana中查看此内容）是的，我必须这样做，并删除以前的索引。它不希望更改为“未分析”。是的，我已将“管理”模板更改为“真”。此外，我还添加了filebeat模板的编辑版本，并使用

curl-XPUT'将其添加到elasticsearch中http://localhost:9200/_template/beta'-d@/etc/filebeat/filebeat.template.json

要轻松创建模板，请使用前面的代码复制filebeat模板，您只需修改json文件，将模板“filebeat-”更改为“beta-”（或以任何方式调用索引），并对每个索引重复相同的过程。现在我有了我需要的未分析字符串，我没有得到额外的.raw字段，尽管你有没有尝试在Kibana中重新加载你的索引字段列表？（假设您在Kibana中查看此内容）是的，我必须这样做，并删除以前的索引。它不想变为不分析。