如何在Elasticsearch Ingest Node管道中访问嵌套字段配置set处理器条件

两种写法失效的核心原因有两个：

1. 若你的Elasticsearch版本低于7.10，不支持?.可选链语法，直接访问嵌套字段时如果某一层父字段不存在，会触发空指针异常，加上你开启了ignore_failure: true，处理器会直接静默跳过，不会执行。
2. JSON配置里双引号嵌套转义容易出错，会导致条件判断逻辑失效。

方案1：兼容所有ES版本的逐层判存写法（推荐） #

把所有涉及kind判断的if条件替换为逐层判存的逻辑，避免空指针，同时用单引号包裹判断值规避转义问题：

"if": "ctx.containsKey('kubernetes') && ctx.kubernetes.containsKey('event') && ctx.kubernetes.event.containsKey('involved_object') && ctx.kubernetes.event.involved_object.containsKey('kind') && ctx.kubernetes.event.involved_object.kind == 'Pod'"

Deployment对应的判断逻辑同理修改即可。

方案2：ES 7.10+版本可选链简化写法 #

如果你的集群版本大于等于7.10，直接用简化的可选链写法即可：

"if": "ctx?.kubernetes?.event?.involved_object?.kind == 'Pod'"

额外注意点 #

你当前配置里有一个处理器的复制源字段是kubernetes.event.metadata.namespace，你提供的JSON示例中kubernetes.event层级下没有metadata字段，请核对实际数据中namespace的存储路径，修改为正确的源字段路径，否则即使条件匹配也无法成功赋值。

调整后完整pipeline示例（兼容全版本） #

PUT _ingest/pipeline/prometheus-kubify
{
  "processors": [
    {
      "set": {
        "field": "kubernetes.namespace",
        "ignore_empty_value": true,
        "if": "ctx.metricset.name == 'query'",
        "ignore_failure": true,
        "copy_from": "prometheus.labels.namespace"
      }
    },
    {
      "set": {
        "field": "kubernetes.pod.name",
        "copy_from": "prometheus.labels.pod",
        "ignore_empty_value": true,
        "if": "ctx.metricset.name == 'query'",
        "ignore_failure": true
      }
    },
    {
      "set": {
        "field": "kubernetes.container.name",
        "copy_from": "prometheus.labels.container",
        "ignore_empty_value": true,
        "if": "ctx.metricset.name == 'query'",
        "ignore_failure": true
      }
    },
    {
      "set": {
        "field": "kubernetes.namespace",
        "copy_from": "kubernetes.event.metadata.namespace",
        "ignore_empty_value": true,
        "if": "ctx.containsKey('kubernetes') && ctx.kubernetes.containsKey('event') && ctx.kubernetes.event.containsKey('involved_object') && ctx.kubernetes.event.involved_object.containsKey('kind') && ctx.kubernetes.event.involved_object.kind == 'Pod'",
        "ignore_failure": true
      }
    },
    {
      "set": {
        "field": "kubernetes.pod.name",
        "ignore_empty_value": true,
        "if": "ctx.containsKey('kubernetes') && ctx.kubernetes.containsKey('event') && ctx.kubernetes.event.containsKey('involved_object') && ctx.kubernetes.event.involved_object.containsKey('kind') && ctx.kubernetes.event.involved_object.kind == 'Pod'",
        "ignore_failure": true,
        "copy_from": "kubernetes.event.involved_object.name"
      }
    },
    {
      "set": {
        "field": "kubernetes.deployment.name",
        "copy_from": "kubernetes.event.involved_object.name",
        "ignore_empty_value": true,
        "if": "ctx.containsKey('kubernetes') && ctx.kubernetes.containsKey('event') && ctx.kubernetes.event.containsKey('involved_object') && ctx.kubernetes.event.involved_object.containsKey('kind') && ctx.kubernetes.event.involved_object.kind == 'Deployment'",
        "ignore_failure": true
      }
    }
  ]
}

内容的提问来源于stack exchange，提问作者sidharth vijayakumar