问题标签 [elasticsearch-watcher]

我正在使用 ELK watcher 进行警报 2.2 版，我的查询输出是这样的

在观察者的情况下，我想比较“值”是否大于某个阈值，

我尝试使用 array_compare 但它不适用于像这样的嵌套数组，它与字段匹配到 sum_other_doc_count 但不会更进一步。

如果有人可以帮助我

我为弹性搜索观察程序设置创建了一个查询。结果集如下所示：

在操作部分，我可以使用以下方法访问字段：

在源标记之后，我使用例如上面列表中的“类型”字段。另一个例子是：

这工作得很好......但不可能使用像

解析器认为这个字段是嵌套的，但这只是一个带有点的字段名。有没有可能“转义”这个字段名？任何人也有这个问题？

非常感谢和最好的问候克劳斯

我正在尝试创建一个日期类型的元数据字段以在输入、条件、操作中使用：

在输入中，它似乎具有预期的效果。

在我尝试使用 range_start 的操作中，如下所示：

但结果是：

代替：

任何帮助表示赞赏！

我正在尝试使用动态附件创建 Slack 操作。我的 _source 看起来像这样：

这是我的 Slack 动作

我似乎无法弄清楚如何访问我的 _source 字段，因为它们中有点。我试过了：

• "{{_source.[\"user.login\"]}}"
• "{{_source.user.login}}"
• "{{_source.[user.login]}}"
• "{{_source.['user.login']}}"

包手表。我添加了 x-pack 的依赖项。

我可以使用 curl 请求创建观察者，但无法从 java 代码创建。我使用 curl 创建了一个观察者并尝试从 java 代码中获取它。这是我的代码。

它给出了错误-

我已经尝试过与PreBuiltTransportClient客户。我可以使用此客户端获取 elasticsearch 的所有索引，但无法创建或获取观察者。它给出了错误-

我正在尝试创建一个观察者警报，当节点上的某个进程在过去一小时内使用超过 0.95% 的 CPU 时将触发该警报。

这是我的配置示例：

当我设置 metric 时，这个 Watcher 不起作用system.process.cpu.start_time。也许这个指标不正确......不幸的是，我没有与 Watcher 相关的经验来自己解决这个问题。

另一个问题是我不知道如何将其添加system.process.name到消息正文中。

提前感谢您的帮助！

如何将 Elasticsearch Watcher 限制为每个事件一个警报。如果日志中显示错误，则观察者将触发直到它被确认。

我只想要新错误的警报而不是时间限制。

我正在使用 Elasticsearch 6.4 和 Kibana 6。我也在使用 Sentil 插件。

https://github.com/sirensolutions/sentinl

这个插件是 xpact 观察者和监控的免费替代品。但是，我在正确编写观察者查询时遇到了一些困难。我只想拉出最新的百分比值，并在设置百分比高于 90% 时发出警报。

我的查询：

这个观察者的问题是它会在值读取 0.1445555 并且它不大于或等于 gte 所代表的 0.9000 时触发。

当我在 kibana 的开发人员工具中运行查询时，它返回以下内容：

鉴于数组比较逻辑，这不应该正确触发警报，因为键值只有 .14 而不是 gte .90，所以这让我相信我没有得到正确的值。

Sentil 将数组比较描述为：

数组比较条件 使用array_compare 比较一个值数组。例如，如果聚合中至少有一个存储桶的 doc_count 大于或等于 25，则以下 array_compare 条件返回 true：

选项

名称 说明 array.path 执行上下文中数组的路径，以点表示法指定 array.path.path 要评估的每个数组元素中的字段的路径 array.path.operator.quantifier 需要多少个匹配项比较评估为真：some或all。默认为some，必须至少有一个匹配项。如果数组为空，则比较结果为 false array.path.operator.value 要比较的值

有人可以帮助我解决我的观察者和/或查询做错了什么。我似乎无法获得百分比并检查百分比值。

我正在尝试在 kibana 中定义一个观察者来监视我们的日志，并在发生错误时向我们的松弛通道发送带有消息详细信息的通知。

问题是我找不到获取消息详细信息的方法。我已经打印了整个{{ ctx }}字典，但没有发现任何有用的东西。

我在弹性搜索中设置了一个观察者，并希望将时间戳作为我电子邮件中的字段之一发送。当前发送电子邮件时的时间是 UTC 时间。是否可以格式化此值以显示本地时区的时间？

更新：添加了当前配置

Elastic 和 Kibana 对我来说是新的，所以可能有更好的方法来执行这种搜索和聚合。如果是这样，我愿意接受建议。