# Парсинг поля "message"

**URL:** <https://discuss.elastic.co/t/message/275279>\
**Category:** Вопросы на русском языке\
**Created:** [June 8, 2021, 9:50am UTC](https://discuss.elastic.co/t/message/275279 "2021-06-08T09:50:12Z")\
**Posts on this page:** 4\
**Page:** 1

<div class="post-metadata">

**Author:** ![tonik](https://avatars.discourse-cdn.com/v4/letter/t/ce73a5/32.png) [@tonik](https://discuss.elastic.co/u/tonik)\
**Post date:** [June 8, 2021, 9:50am UTC](https://discuss.elastic.co/t/message/275279/1 "2021-06-08T09:50:12Z")

</div>

Добрый день.  
Вопрос таков, имеется поле "message" которое изменяется по количеству содержащихся данных и мне при этом нужно выделять поле, которое периодически встречается. Думал сначала через grok но потом понял, что не війдет, потому что поле меняется. Подскажите, как мне правильно распарсить?  
Если что делаю это через "Ingest node pipeline"

 ![image](https://us1.discourse-cdn.com/elastic/original/3X/4/2/429a350743b20eb5badeecca291272d596db7afa.png)  
Так выглядит сообщение и собственно мне нужно поле "jid"

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [June 8, 2021, 4:51pm UTC](https://discuss.elastic.co/t/message/275279/2 "2021-06-08T16:51:20Z")

</div>

> [@tonik](#):
>
> имеется поле ... и мне при этом нужно выделять поле

Ничего не понимаю. Какое поле, куда его выделить?

---

<div class="post-metadata">

**Author:** ![tonik](https://avatars.discourse-cdn.com/v4/letter/t/ce73a5/32.png) [@tonik](https://discuss.elastic.co/u/tonik)\
**Post date:** [June 17, 2021, 9:57am UTC](https://discuss.elastic.co/t/message/275279/3 "2021-06-17T09:57:41Z")

</div>

Смог решить проблему, таким фильтром grok

```auto
{
    "grok": {
      "field": "message",
      "patterns": [
        "%{JID:ttt}: %{EMAILADDRESS:jid}"
      ],
      "pattern_definitions": {
        "EMAILLOCALPART": "[a-zA-Z][a-zA-Z0-9_.+-=:]+",
        "EMAILADDRESS": "%{EMAILLOCALPART}@%{HOSTNAME}%{UNIXPATH}",
        "JID": "[jid]"
      },
      "ignore_missing": true
    }
  }

```

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [July 15, 2021, 9:57am UTC](https://discuss.elastic.co/t/message/275279/4 "2021-07-15T09:57:53Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.