如何解决为什么这个提取的 Graylog 字段没有显示在我的小部件中？
我正在使用连接到 .csv 文档的管道，在 Graylog 上的 Windows 日志中创建一个新字段。 正如您从屏幕截图中看到的，我可以在每个日志中看到该字段，但是当我单击 “显示最高值” 以创建一个新小部件时，Graylog 没有显示任何内容。
我认为这是因为字段中的值不是字符串，实际上它位于大括号之间。 问题是我找不到在小部件中显示这些值的方法。我尝试更改我的管道规则，但没有结果。
以下是我对规则所做的众多尝试之一：
rule "eventid_windows_rule"
when
has_field("winlogbeat_winlog_event_id")
then
let winlogbeat_winlog_italiano = lookup("eventid_widget_windows_lookup",($message.winlogbeat_winlog_event_id));
set_field("winlogbeat_winlog_ita",to_string(winlogbeat_winlog_italiano));
end
截图：
解决方法
这是一个JSON对象的字符串表示，你应该尝试替换
set_field("winlogbeat_winlog_ita",to_string(winlogbeat_winlog_italiano));
由
set_field("winlogbeat_winlog_ita",to_string(winlogbeat_winlog_italiano.value));
/\
-------------------------------------------------------------------------|
这应该避免存储 JSON 对象表示（我们希望在 winlogbeat_winlog_ita 中看到“Un account ha effettuato il logon con succcesso”）
但是，这可能不是您唯一的问题，请检查字段类型是否不是“复合”：如果过去您在该字段中为当前索引发送了另一种数据类型，则可能会发生这种情况。
了解您是否属于这种情况的最佳方法是单击“字段”（在侧栏中，搜索时），然后单击字段 winlogbeat_winlog_ita 并看到弹出窗口显示“winlogbeat_winlog_ita =字符串”或者是否显示混合字段类型。
如果是复合值，您应该轮换活动写入索引，生成一些日志，然后再次搜索（从您执行轮换的日期/时间开始搜索，以避免考虑旧的复合值）
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。