Visualize の TSVBを使用してnginxのアクセスログを纏めて表示するようにしたい

[yuta.otsubo (雄太 大坪)]

Visualize の TSVBを使用してnginxのアクセスログを集計しています。
uri.keywordで集計すると /user/1234 と /user/3456 が別のものとして集計されますが同じもの( /user/* )として集計したいと思っています。

KQLにクエリを書くことでまとめることができないか試していますが、現在のところ実現できておりません。
KQLまたはTSVBの設定を変えることで上記を実現することはできますでしょうか。

ご回答いただけると幸いです。