如何在Elasticsearch日志流中为特定日志流添加字段及logfile参数

这两项操作完全可行，具体实现方式如下：

1. 为特定名称的日志流添加字段 #

可以通过Elasticsearch自带的Ingest Pipeline或者数据采集工具（如Logstash）实现，核心是通过条件匹配定位目标日志流，再添加自定义字段。

比如用Ingest Pipeline的示例：

PUT _ingest/pipeline/add-custom-field
{
  "description": "为特定日志流添加字段",
  "processors": [
    {
      "if": "ctx.log_stream == '你的目标日志流名称'",
      "set": {
        "field": "custom_field",
        "value": "自定义字段值"
      }
    }
  ]
}

创建好这个管道后，将目标索引的默认管道设置为它，或者在写入数据时指定该管道即可。

2. 在日志流头部添加logfile参数 #

这个操作通常在数据采集阶段（比如Filebeat、Fluentd）完成，也可以用Ingest Pipeline补全。

以Filebeat为例，在配置文件中直接为指定日志路径添加logfile字段：

filebeat.inputs:
- type: log
  paths:
    - /var/log/your-target-log/*.log
  fields:
    logfile: "your-log-filename"
  fields_under_root: true  # 将字段直接放在日志事件根节点，模拟"头部参数"效果

如果是已经进入Elasticsearch的日志，也可以用Ingest Pipeline的set处理器，给匹配到的日志流添加logfile字段，逻辑和添加自定义字段类似。

内容的提问来源于stack exchange，提问作者007