使用logstash更新/刪除現有日誌條目

有沒有辦法告訴logstash從Elasticsearch中刪除/更新某些日誌條目？ Logstash似乎可以索引文件，但我沒有找到可以進行更新/刪除操作的證據。使用logstash更新/刪除現有日誌條目

如果可能的話，我們可以想象我們可以在Elasticsearch上「登錄」操作並使用Logstash在Elasticsearch中批量輸出它們。這樣程序員就不必創建一個機制來在Elasticsearch上進行批量操作。

2015-04-17 Heschoon

我懷疑你可以通過設置elasticsearch輸出的document_id選項來做到這一點。您顯然必須能夠爲每個日誌條目生成唯一且可重複的ID。 –

這個想法很好，並給出了更新日誌的方法。但它不能刪除日誌。 – Heschoon

[在Elasticsearch中導入和更新數據]的可能重複（http://stackoverflow.com/questions/21716002/importing-and-updating-data-in-elasticsearch） –

一切都是in the docs。

要使用Logstash更新條目，您需要在document_id中提供文檔ID，並將文檔替換爲新內容。

要使用logstash刪除文檔，請在document_id中提供其id，並將操作字段設置爲「delete」。

2015-04-17 12:56:39 Heschoon

回答