使用Datadog Grok Parser解析Azure AVD日志嵌套JSON遇阻

核心解决方案：用Datadog原生处理器替代keyvalue/Grok #

直接用Datadog的内置工具处理嵌套JSON数组，比手写规则高效可靠：

• 第一步：添加JSON解析处理器，指定解析根字段为@properties。这一步会把嵌套的SessionHostHealthCheckResult识别为结构化数组，而非纯字符串。
• 第二步：添加数组拆分处理器（Split Array Processor），选择目标字段为@properties.SessionHostHealthCheckResult：
  • 若要把每个健康检查项拆成独立日志条目，勾选"Split into separate logs"；
  • 若要在原日志中保留拆分后的独立对象数组，保持默认配置即可。

自定义Grok备选方案（不推荐） #

如果必须用Grok，先通过正则提取数组内的所有对象，再逐个解析：

@properties.SessionHostHealthCheckResult: \[(?<health_checks>(?:\{[^}]+\},?)+)\]

提取出health_checks字段后，再添加JSON解析处理器，把该字段拆分为独立对象数组。这种方法对日志格式兼容性差，仅作为原生处理器失效时的备选。

验证要点 #

配置完成后，用Datadog日志测试功能导入样本AVD日志，确认每个健康检查项都被封装为独立的JSON对象——比如每个条目包含CheckName、Status等独立字段，或者原日志的数组元素不再被聚合为同名字段。

内容的提问来源于stack exchange，提问作者Som3guy