问题标签 [elastic-stack]

我是 ELK 堆栈的新手，可能会尝试设置一个非常复杂的配置以开始... :-)

我在 Windows 7 笔记本电脑上运行整个堆栈。我正在导入一个运行良好的 CSV，但我无法得到不分析的字符串字段，这在 kibana 可视化中给了我损坏的文本。

最后一次尝试是使用模板。

模板和 conf 文件都位于 c:\logstash-1.5.0\bin 目录中。

这是配置文件：

这是模板（老实说，我只是从另一个主题复制并更改了“模板名称”）我怀疑如何处理第 7 行，因为这可能特定于发起者使用的数据......

任何帮助/提示/提示表示赞赏！

我知道有人问过这个问题，但 ELK 似乎变化非常迅速，也许在这一点上有些事情是可能的。所以，我使用的是 Kibana 4，我试图可视化（或至少计算）查询中两个文档之间的时间差。我的文档是批处理过程中的日志，其中包含很多字段，时间戳就是其中之一（“日期”类型）。是否可以使用脚本字段计算查询中连续文档之间的时间差？（返回什么类型并不重要）。

我希望我是有道理的，我是 ELK 的新手。提前致谢。

道塔

在 kibana 4.1.0 中是否有某种方法可以缩放 Y 轴？，我有一个以秒为单位的字段的平均指标，但我希望它以小时为单位显示，我的意思是 25,000 秒应该类似于 25000 /3600 或类似的东西。

Kibana 4 提供了一个引入 Json 输入的功能，应该与现有配置合并，但我不能让它工作，我看到这个脚本应该工作：

{'脚本':'(_value)/3600'}

但它没有，它会引发错误：

可视化：对 Elasticsearch 的请求失败：{"error":"SearchPhaseExecutionException[未能执行阶段 [query]，所有分片失败；shardFailures {[leNBGA9VRmuUiPaMidqeVw][logstash-2014.05.20][0]: SearchPar...

有任何想法吗？？

我试图在 Logstash 上使用 CSV 过滤器，但它可以上传我的文件的值。我正在使用 Ubuntu Server 14.04、kibana 4、logstash 1.4.2 和 elasticsearch 1.4.4。接下来我展示我编写的 CSV 文件和过滤器。难道我做错了什么？

CSV 文件：

Logstash CSV 过滤器：

当我执行过滤器时，出现：使用里程碑 2 输入插件 'file'... 并使用里程碑 2 输入插件 'csv'... 并且没有出现 OK 消息。

有人可以帮助我吗？

我想在 Kibana Dashboard 上创建一个静态列表。例如，显示可单击区域名称的窗格。所以当我点击一个区域时，其余的可视化会动态变化。

我正在寻找类似“度量”可视化的东西，但需要文本数据和可点击。有没有办法做到这一点？

我想知道是否可以创建一个服务器 IP 地址数组，以使 Logstash 配置文件更易于编辑和阅读。我用“linux”标记我们的 CentOS 机器，用“networking”标记我们的 ASA。现在，我的配置的过滤器部分看起来像这样：

这行得通，但由于我在每个类别中有 30 多个节点，所以这条线非常长。我正在考虑做这样的事情（在伪代码中）：

这样的事情可能吗？有一个更好的方法吗？

我正在尝试在运行 Ubuntu 14.04 的 VirtualBox VM 上使用 docker-py 部署 ELK 堆栈。目前正在运行 docker 1.7 版，并且正在使用 Docker Hub 库官方容器用于 elasticsearch、kibana 和 logstash。

我编写了一个简短的脚本来拉取、配置和启动容器。elasticsearch 和 kibana 容器运行成功，但 logstash 容器在大约 23 秒后退出。

我的logstash.start.py：

有什么建议么？

我们的应用程序通过 MBean 公开各种指标，这些指标由 logstash 拉取并保存到 ElasticSearch。典型的指标是“number_of_connected_users”、外部依赖项的连接状态等。我想可视化这一点，但我看不到 Kibana 只支持显示最后一个查询结果，而丢弃旧的。

我认为我需要 1) 将查询限制为仅返回一个结果然后将其可视化，或者 2) 让查询返回多个结果并选择可视化中的最后一个结果。有人做过吗？

我一直在玩 logstash，想知道如何正确配置电子邮件警报。

我正在寻找字符串“BVDCS_LAP”并将邮件发送到给定的地址。

我的配置是：

没有发送电子邮件，在我的 logstash.conf 中，我在第 27 行看到以下内容：

{:timestamp=>"2015-07-07T12:55:50.597000+0100", :message=>"错误：在第 27 行第 8 列（字节 649）之后的 #、输入、过滤器、输出中应有一个（字节 649）}

我也很想知道我原来的 grok 编码是否正确，以及我们是否可以弄清楚如何为系统日志消息设置标签并将其用作电子邮件输出？

谢谢

考虑到灾难恢复需求的需要，可以用于 ES 的架构是什么。基本上我们需要维护位于不同位置的 2 个集群设置。只有在 cluster1 关闭的情况下，请求才会转到 Cluster2。这里的挑战是保持 2 个集群之间的索引数据一致性。

ES 是否支持这种类型的设置？或者任何人都可以建议我们如何实现这一目标？还有我们如何在这些集群中实现全负载索引和数据增量刷新。

谢谢，拉克什