3

我写了以下规则

type: frequency

filter:
- query:
    query_string:
      query: "category:foo.bar AND msg._:*Failure*"

alert_text: "Total number of errors cross threshold..... <a href='{0}'>Kibana link</a>"
alert_text_args:
  - kibana_link
alert_text_type: alert_text_only

我的 config.yaml 是

# Kibana Dashboard
use_kibana4_dashboard: http://mykibana.com/

当发出警报时，我单击了我在消息中放入的超链接。它把我带到我的仪表板。

但我想要的是，它不是仪表板，而是进入数据发现屏幕，并在那里发出与发出警报时发出的完全相同的查询。

通过这种方式，我想准确地看到 elastalert 在发出警报时看到的查询结果。

4

1 回答 1

1

实际上，我能够自己解决这个问题。我在这里写我的解决方案。

所以基本上，我在 kibana 中进行了与上述条件完全相同的搜索并保存了该搜索。接下来，我创建了一个仪表板并将保存的查询拉入仪表板。

接下来，我将规则指向包含已保存查询的新仪表板。

当链接生成时， elastalert 将以时间段注入超链接的方式创建链接。当您单击链接时，您将看到警报所看到的确切内容。

于 2017-01-05T20:19:44.140 回答