如何在Logstash管道中替换program字段的变量值为kernel？

你之前的问题出在误用了rename插件——这个插件的作用是重命名字段，而非修改字段的具体取值。要实现把program字段中类似date=2023.14.02的内容替换为kernel，应该使用mutate插件的replace或update选项，配合正则条件判断。

正确配置示例 #

if [program] =~ /^date=.*/ {
    mutate {
        replace => { "program" => "kernel" }
    }
}

说明 #

• 条件[program] =~ /^date=.*/会匹配所有以date=开头的program字段值
• mutate的replace选项会直接将匹配到的program字段值替换为kernel

如果需要更精确匹配日期格式（比如确保日期部分是YYYY.MM.DD格式的数字），可以把正则表达式写得更严谨：

if [program] =~ /^date=\d{4}\.\d{2}\.\d{2}$/ {
    mutate {
        replace => { "program" => "kernel" }
    }
}

内容的提问来源于stack exchange，提问作者mrin9san