如何使用ingest node pipeline在指定字段存在时复制值到新字段

1. 关于ctx.prometheus?.labels?.pod == "*"写法的有效性 #

该写法无法实现字段存在性判断，== "*"是严格相等判断，只有当prometheus.labels.pod的值刚好为字符串*时才会返回true，完全不符合判断字段是否存在的需求。

2. 正确的触发条件写法 #

在Elasticsearch Ingest Pipeline的Painless上下文中，使用安全导航符?.配合空值判断即可实现目标：
"if": "ctx.prometheus?.labels?.pod != null"
这个表达式的逻辑是：只有当prometheus字段存在、prometheus.labels字段存在、且prometheus.labels.pod字段存在且不为null时，才会返回true，触发后续set操作。
如果需要额外排除pod字段为空字符串的场景，可以扩展为：
"if": "ctx.prometheus?.labels?.pod != null && ctx.prometheus.labels.pod != ''"

3. 完整的set处理器示例 #

{
  "processors": [
    {
      "set": {
        "field": "kubernetes.pod.name",
        "copy_from": "prometheus.labels.pod",
        "if": "ctx.prometheus?.labels?.pod != null",
        "ignore_failure": true
      }
    }
  ]
}

其中ignore_failure为可选参数，开启后即使偶发字段结构异常导致执行失败，也不会中断整个Pipeline处理流程，避免日志丢失。

内容的提问来源于stack exchange，提问作者sidharth vijayakumar