Измените содержимое поля, используя logstash

Question

Я использую logstash для получения данных из базы данных sql. Существует поле, называемое «код», в котором содержание имеет эту структуру:

PO0000001209

ST0000000909

И то, что я хотел бы сделать, это удалить 6 нулей после букв, чтобы получить следующий результат:

PO1209

ST0909

вложу результат другое поле под названием «code_short» и использовать его для моего запроса в elasticsearch. Я настроил вход и вывод в logstash, но я не уверен, как это сделать, используя grok или, возможно, мутировать фильтр.

Я прочитал несколько примеров, но я совершенно новый по этому вопросу, и я немного застрял.

Любая помощь будет оценена по достоинству. Благодарю.

Answer 1

Вы можете использовать mutate/gsub фильтр для этого, но что заменит значение code поле:

filter { 
    mutate { 
    gsub => [ 
     "code", "000000", "", 
    ] 
    } 
} 

Другой вариант заключается в использовании grok фильтр так:

filter { 
    grok { 
    match => { "code" => "(?<prefix>[a-zA-Z]+)000000%{INT:suffix}" } 
    add_field => { "code_short" => "%{prefix}%{suffix}"} 
    } 
}