ELK堆栈中的新字段-logstash

Question

我正在创建新字段，并使用从现有字段复制数据

mutate {
add_field => { "NewField" => "%{[Old][Field]}" }
}

我遇到的问题是，在这次复制操作之前，OldField在kibana中以这种方式呈现得很好：

{
"message": "1"
}
{
"message": "2"
}
{
"message": "3"
}
{
"message": "4"
}

复制后，NewField在一行中表示数据：

{message=1},{message=2},{message=3},{message=4}

有没有办法保持原始格式？旧字段是一个JSON数组，新字段是文本。

谢谢！

Answer 1

您是否尝试过使用copy而不是add_field？

mutate {
copy => { "[Old][Field]" => "[NewField]" }
}