LogstashのKVフィルタの問題

Question

私は、logstashを通じてElasticSearchでドキュメントのインデックスを作成しようとしています。

GET firstname=john&lastname=smith 400 

私の目標は、私がこれまで

filter { 
    grok{ 
    match => {"message" => "%{WORD:HttpMethod} %{GREEDYDATA:KVText} %{NUMBER:time:int}"} 
} 
kv { 
    source => "KVText" 
    value_split => "&" 
    remove_field => [ "KVText" ] 
} 

を以下のなかった、以下の

HTTPMethod: GET 
    firstname : john 
    lastname: smith 
    query_time : 400 

ようになりますインデックスを作成することです、次のように私はインデックスにしようとしているファイルの例です。

ただし、logstash confファイルを実行すると、次のようなメッセージが表示されます。

 "query_time": 400, 
     "message": "GET firstname=john&lastname=smith 400\r", 
     "HttpMethod": "GET", 
     "firstname=john": "lastname=smith" 

インデックスを離散値としてkey1 = value1形式として取得していません。例えばfirstname = john lastname = smith

また、ログファイルを変更すると、logstashプロセスはリアルタイムでインデックス付けの変更を選択しません。私はファイルの名前を変更し、logstashを再起動する必要があります。私はそれが私のlogstash.confのsince_dbパスと関係があることを理解しています。

すべてのポインタは本当に感謝しています。

おかげ ニック

Answer 1

あなたはKVフィルタに間違った方法を設定しています。

paramは、field_split configが文字列からペアを分割するためにどの文字を使用するかを指示している間に、1つのキーと値のペアを分割するために使用するcharをフィルタに伝えます。試してみてください：

kv { 
    source => "KVText" 
    value_split => "=" 
    field_split => "&" 
    remove_field => [ "KVText" ] 
}