logstash展开嵌套json的问题

Question

现在我在logstash中接收到如下的json

{"a": {"b" :{"c" :"123"}}}

我希望把上述json转换成

{"c":"123"}

logstash.conf具体怎么写?

我了解到的写法是

 # 展开a的嵌套
mutate{
 add_field => { "json" => "%{a}" }
}
json {
source => "json"
remove_field => ["json", "a"]
}
# 展开b的嵌套
mutate{
  add_field => { "json" => "%{b}" }
}
json {
 source => "json"
 remove_field => ["json", "b"]
}

这是最佳实践吗? 为什么这么麻烦? 而且看起来性能不是很高.

Answer 1

filter{
    json {
      source = >"message"
      add_field => {"c" => "%[a][b]"}
    }
}