Datadog日志按内容分组疑问：by字段填什么？@content无效

• 先核对字段引用语法：不同日志工具的字段引用规则有差异，若@content无效，直接尝试使用字段名content。
• 检查字段类型：content必须是可聚合的类型（比如keyword），如果是text类型，默认无法用于分组，需使用其对应的keyword子字段（如content.keyword）来完成聚合。
• 实操示例（以Kibana为例）：
  • 可视化聚合：在分组Bucket的By字段中选择content或content.keyword；
  • DSL查询聚合：

{
  "aggs": {
    "grouped_logs": {
      "terms": {
        "field": "content.keyword"
      }
    }
  }
}

• 若仍有问题，确认工具是否支持对该字段做聚合，必要时先对content字段做预处理（如设置字段映射为可聚合类型）。

内容的提问来源于stack exchange，提问作者alib1