ElasticSearch Watcher 过滤范围查询答案

【问题标题】：ElasticSearch Watcher filtered range queryElasticSearch Watcher 过滤范围查询
【发布时间】：2017-07-20 18:05:12
【问题描述】：

我在为 ElasticSearch (v5.3) 编写 Watcher 输入查询方面需要帮助。我的要求是如果 apache 状态代码变为 500 或更多，则触发警报。

Index name: Apache-access-log Field name: status_code Kibana Discover query: status_code: [500 TO 600] Time period: Last 15 minutes.

这是我使用过的 Watcher 输入查询，但它没有按预期工作。

{
  "search": {
    "request": {
      "index": [
        "Apache-access-log"
      ],
      "body": {
        "query": {
          "filtered": {
            "query": {
              "query_string": {
                "query": "status_code: 500",
              }
            },
            "filter": {
              "range": {
                "@timestamp": {
                  "gte": "now-15m",
                  "lte": "now"
                }
              }
            }
          }
        }
      }
    }
  }
}

【问题讨论】：

标签： elasticsearch kibana

【解决方案1】：

Elasticsearch 5.5 不再支持过滤查询。使用带有过滤器的布尔查询

布尔：必须：请求参数：查询：'status_code:[500:600]' 筛选：范围： @timestamp: ...

在将其放入观察者之前，请始终尝试先将其作为独立查询进行查询。如果你有时间，我强烈建议你 this blog post 如何编写和调试手表

【讨论】：