Elasticsearch在查询中截断字符串字段

Question

为了在 Grafana 仪表板上显示最近的异常，我正在查询日志文件中的异常。 Grafana 似乎没有在表格视图中限制字符串值的选项。当然，堆栈跟踪是巨大的。

所以我想出了在使用的 Lucene 查询中限制这个字段的想法，但我不知道如何做到这一点。我尝试使用无痛脚本执行此操作：

{
 "query": {
  "match_all": {}
 },
  "script_fields": {
    "message_short": {
     "script": {
       "lang": "painless",
       "inline": "return doc['message'].value.substring(50);"
     }
    }
  }
}

我没有收到任何错误，但也没有我预期的附加字段“message_short”。我是否必须以某种方式启用脚本支持？我在 v6.1.2 上运行

Answer 1

我实现了一个解决方法，其中我有一个钻取 URL（Grafana 表中的“将值呈现为链接”），在该 URL 中我呈现一个指向我的 Kibana 实例的链接，并使用 Grafana 变量 $__cell 引用我从底层 Elasticsearch 查询：

https://mykibana.host/app/kibana#/doc/myindex-*/myindex-prod-*/logs?id=$__cell&_g=h@8b5b71a

不完美，但让我的仪表板保持可读性，并在需要时允许更多信息。更好的办法是在 ES 索引中添加一个短字段，但目前这对我来说是不可能的。