如果有多个字段与只有一个字段，则 Elasticsearch 查询性能？

Question

我正在从事涉及在 Remedy 日志文件中搜索不同模式的项目。让logstash将消息字段分解为多个字段JSON文档或手动创建一个只有一个字段的JSON文档并将其提供给elasticsearch是否有利。据我所知，elasticsearch在手动生成的只有一个字段的JSON文档中做得很好。所以我必须在这些应用程序中真正使用logstash吗

Answer 1

通过将所有内容放在一个字段中，您将限制自己仅使用 elasticsearch 的搜索功能。虽然 elasticsearch 是一个非常强大的搜索引擎，但对我来说，将自己限制在搜索范围内并没有多大意义。通过将数据拆分为多个字段，您将能够释放 elasticsearch 的全部分析功能并使用 Kibana 来可视化您的数据。举个例子，通过简单地提取时间戳字段，您不仅可以搜索某些事件，还可以绘制这些事件如何及时分布的直方图。通过提取事件和源的严重性，您将能够查看导致大多数问题的源等等。从长远来看，我认为这是值得的。