elasticsearch - 在 elasticsearch 模板中创建 geoip 字段

Question

我正在使用geoip插件logstash来获取有关主机的地理信息。

我在用

          geoip {
            source => "dst"
          }

这似乎有效，但在我的elasticsearch文档中创建了以下两个字段

如何在geoip条目中连接这些？

类似于复合 json 对象的东西，例如：

"geoip"  : {
  "properties" : {
    "latitude" : { "type" : "half_float" },
    "longitude" : { "type" : "half_float" }
  }
}

标签： elasticsearchgeolocationlogstash

Answer 1

您需要在索引模板中创建以下字段：

{
  "properties": {
     ...
     "geoip": {
       "type": "object",
       "properties": {
         "location": {
           "type": "geo_point"
         }
       }
     }
  }
}