问题标签 [elastic-stack]

我是 Elasticsearch (ELK) 的新手，我正在从事一个最初由外部公司完成的项目，但他们不会支持它，所以我正在尝试自己进行一些更改。

我要做的是更改字段名称，因为现在进入 Elasticsearch 的数据发生了一些变化。

如果我运行这个：

我得到了映射（我猜是这个词）。它看起来像这样（简化了一点）：

这些映射有八个，我只展示了其中两个。

问题是，"field": "cluster.id"现在必须如此"field": "cluster_id"，我似乎无法找到改变它的方法。

我什至尝试只创建新的映射，但我收到错误消息说.kibana已经存在，即使我已经拥有不只是一个，而是八个带有"_index" : ".kibana".

我已经搜索了文档，但我仍然卡住了。也许我在寻找错误的地方。我将不胜感激帮助和/或有关如何执行此操作的指示。

谢谢。

我有两个文件，一个 xml 文件和一个 csv 文件。当我从 csv 文件中摄取数据时，我想从 xml 文件中添加字段。

这是我的 xml 的样子

这是我的 csv

现在我想从 xml 文件中提取日期和 ID，并将这些字段添加到 csv 的每一行，当我将其拉入弹性搜索时，如下所示：

使用logstash可以实现这种事情吗（.conf文件会是什么样子）？

为什么这个查询给我一个解析异常？如果我删除布尔它似乎确实有效。但是我需要带有 query_string 的布尔值。我怎样才能使这项工作？

I am using ELK stack to process logs containing java exceptions spanning over multiple lines. I am using a table visualization to display exceptions.

But I can only see first line of exceptions in the table. Is there a way to display entire exception stack-trace?

在 elasticsearch dsl 查询语法文档的许多地方，包装器 json 查询在解释中被跳过，可能是为了减少文档大小。但是当我一直在浏览文档时，它一直令人困惑。在 json 查询中可以或应该去哪里的正式规则是什么？ 换句话说，我试图找到所有弹性查询中通用的标准或模式，因为我需要构建一个内部 api 来查询弹性。是否有一个模板包含"query': {}a"bool":{}或 afilter等中的所有语法组件，我可以在其中填写相关部分并且它仍然可以运行？

我真的很喜欢 ELK 解析日志。但是，我被困在需要解析字典列表的地方。以下是我的日志：-

上述日志的 URL 解码版本为

无论我在哪里尝试解析它，它都会向我显示_jsonparsefailure. 我也经历过这个问题，也经历过各种论坛，但没有找到完美的解决方案。如何解析logstash中的json列表？如果到目前为止不存在，那么有什么办法可以解决相同的问题。？？

以下是我的配置文件。

使用 logstash、elasticsearch 和 kibana，我想在一些日志中找到最常出现的错误字符串。很容易找到错误消息中出现频率最高的单词，或者错误字符串中出现频率最高的校验和，但是我看不到如何监控错误字符串。

我用 ruby​​ 编写了一个 API，可以帮助客户构建 elasticsearch 查询 dsl。构建的查询包含一个空布尔值，如下所示，这会导致问题。由于 bool 像这样为空，它会导致返回 0 个结果。如果我删除布尔值，我会得到预期的结果。如何在不删除该布尔值的情况下将其变成 match_all ？我需要将 bool 留在那里，直到下一个版本可以将其删除。如果我在默认情况下在 bool 中添加一个 must 并在其中添加 match_all，我觉得它可能会产生意想不到的结果。

弹性版本：1.0.1

我已经配置了一个 elk 堆栈（Logstash、Elastic search 和 kibana），我们有一个自定义日志文件，如下所示。

05/August/2015:16:55:10 : www.****.com : statuscode = 200 : 以秒为单位的加载时间 = 0.734 05/August/2015:16:55:11 : ****.my ：状态码 = 403：加载时间（以秒为单位）= 0.340 05/August/2015:17:00:01：www。****.mx：状态码 = 200：加载时间（以秒为单位）= 2.282 05/August/2015:17:00:03：www。****.my：状态码 = 200：加载时间（以秒为单位）= 2.663 05/August/2015:17:00:06：www。****.co.id：状态码 = 200：加载时间（以秒为单位）= 1.455 05/August/2015:17:00:08：****。****.my : statuscode = 200 : 加载时间以秒为单位 = 1.684

我已在 logstash 上成功配置了此日志，并且它在 Kibana 中正确显示。现在，如果日志中的任何上述网站连续显示 504 或 403 状态代码超过 5 次，我想配置电子邮件警报。我知道我需要添加一个匹配日志文件模式的过滤器。但由于这是一个自定义日志，我无法做到。

我不太确定为什么术语过滤器"term": {"language": "Austrian"}会导致弹性搜索解析异常。

令人惊讶的是，如果我删除 query_string 查询，它会起作用。"term": {"language": "Austrian"}如果它不去那里，我会把过滤器放在哪里？