uri에서 변수를 추출하는 런타임 필드.
이때 만든 param 필드는 2차 가공을 할 수 없다. 읽기 스키마 기반으로 동작하는 런타임 필드는 스플렁크의 계산 필드처럼 검색 시점에 생성된다. paramlen 필드가 만들어지는 시점에 param 필드는 존재하지 않는다는 얘기.
그래서 런타임 필드는 쓰기 스키마 기반 필드를 소스로 사용해야 한다.
그런데 REST API에서는 만들어짐(..)
물론 실제로는 만들어지지 않는다.
v8 후기 버전부터 런타임 필드 만들 때 REST API가 웹UI와 따로 노는 느낌. 전체적인 안정성도 자꾸 떨어지는 것 같다. ESQL 나와서 찬밥 됐나?
댓글 없음:
댓글 쓰기