使用 ES|QL 查询多个索引

Elastic Stack Serverless

通过 ES|QL，您可以在多个索引、数据流或别名上执行单个查询。为此，请使用通配符和日期算法。以下示例使用逗号分隔的列表和通配符

FROM employees-00001,other-employees-*

使用 <remote_cluster_name>:<target> 格式查询远程集群上的数据流和索引

FROM cluster_one:employees-00001,cluster_two:other-employees-*

查询多个索引、数据流或别名时，您可能会发现同一字段映射到多个不同的类型。例如，考虑具有以下字段映射的两个索引

索引：events_ip

{
  "mappings": {
    "properties": {
      "@timestamp":     { "type": "date" },
      "client_ip":      { "type": "ip" },
      "event_duration": { "type": "long" },
      "message":        { "type": "keyword" }
    }
  }
}

索引：events_keyword

{
  "mappings": {
    "properties": {
      "@timestamp":     { "type": "date" },
      "client_ip":      { "type": "keyword" },
      "event_duration": { "type": "long" },
      "message":        { "type": "keyword" }
    }
  }
}

当您使用 FROM events_ip 这样的简单查询单独查询每个索引时，结果会提供特定类型的列

FROM events_ip
| SORT @timestamp DESC

请注意，client_ip 列已正确识别为 ip 类型，并且显示所有值。但是，如果查询使用 FROM events_* 查找两个冲突的索引，则无法确定 client_ip 列的类型，并报告为 unsupported，所有值都返回为 null。

FROM events_*
| SORT @timestamp DESC

此外，如果查询直接引用此不受支持的字段，则查询将失败

FROM events_*
| SORT client_ip DESC

Cannot use field [client_ip] due to ambiguities being mapped as
[2] incompatible types:
    [ip] in [events_ip],
    [keyword] in [events_keyword]

ES|QL 提供了一种处理字段类型不匹配的方法。当同一字段在多个索引中映射到多个类型时，该字段的类型被理解为索引映射中各种类型的联合。如前面的示例所示，此联合类型不能在结果中使用，也不能被查询引用 — 除非在 KEEP、DROP 中，或者当它传递给接受联合中所有类型并将字段转换为单个类型的类型转换函数时。ES|QL 提供了一套类型转换函数来实现这一点。

在上面的示例中，查询可以使用类似 EVAL client_ip = TO_IP(client_ip) 的命令来将 ip 和 keyword 的联合解析为仅 ip。您也可以使用类型转换语法 EVAL client_ip = client_ip::IP。或者，查询可以使用 TO_STRING 将所有支持的类型转换为 KEYWORD。

例如，可以使用 TO_IP 函数或等效的 field::ip 语法来改进返回 client_ip:unsupported 且值为 null 的查询。这些更改还可以解决错误消息。只要对原始字段的唯一引用是将其传递给可以解决类型歧义的转换函数，就不会出现错误。

FROM events_*
| EVAL client_ip = TO_IP(client_ip)
| KEEP @timestamp, client_ip, event_duration, message
| SORT @timestamp DESC

了解每一行来自哪个特定索引可能会有所帮助。要获取此信息，请在 FROM 命令上使用 METADATA 选项。

FROM events_* METADATA _index
| EVAL client_ip = TO_IP(client_ip)
| KEEP _index, @timestamp, client_ip, event_duration, message
| SORT @timestamp DESC