Подскажите, возможно ли как-то редактировать уже отправленное сообщение в elasticsearch? Процесс

Question

Подскажите, возможно ли как-то редактировать уже отправленное сообщение в elasticsearch? Процесс

такой:
В logatsah приходит сообщение "А", вида: Дата, время, ID сессии : Устройство №1 получило IP такой-то
Далее, через случайный промежуток времени приходит сообщение "Б": Дата, время, ID сессии отключение

Работает плагин elapsed, который считает время работы устройства №1. Общее поле для плагина подсчета времени в данном случае ID сессии, тут все понятно.
Вопрос такой: Можно ли во второе сообщение (Б) каким-то образом передавать поле из первого сообщения (А) , скажем, поле "Устройство №1", идентифицируя (подтягивая корректное имя), в зависимости от ID, которое было в первом сообщении "А"?

Если да - как это сделать, при условии, что устройств много (больше 50), а так же они могут подключаться/отключаться в разное время.

0

09.10.2023

6 ответов

39 просмотров

Squirel Автор вопроса

Возможно настроить условие вида Если ID сессии = (уникальный номер), то добавлять поле с именем устройства из сообщения А в сообщение Б Вопрос - хранит ли logstash или elapsed у себя копии сообщений после отправки в elasticsearch или нет?

0

09.10.2023