› › ›

Watcher 搜索负载转换

一种负载转换，它在集群上执行搜索，并用返回的搜索响应替换监视执行上下文中的当前负载。以下代码片段显示了如何在监视级别定义简单的搜索转换

{
  "transform" : {
    "search" : {
      "request" : {
        "body" : { "query" : { "match_all" : {} }}
      }
    }
  }
}

像其他所有基于搜索的结构一样，可以使用 Elasticsearch 支持的完整搜索 API。例如，以下搜索负载转换在所有事件索引上执行搜索，匹配具有error优先级的事件

{
  "transform" : {
    "search" : {
      "request" : {
        "indices" : [ "events-*" ],
        "body" : {
          "size" : 0,
          "query" : {
            "match" : { "priority" : "error"}
          }
        }
      }
    }
  }
}

下表列出了搜索负载转换的所有可用设置

表 89. 搜索负载转换设置

名称	必需	默认值	描述
`request.search_type`	否	query_then_fetch	搜索类型。
`request.indices`	否	所有索引	要在其上搜索的一个或多个索引。
`request.body`	否	`match_all` 查询	请求的主体。请求主体遵循您通常在 REST `_search` 请求主体中发送的相同结构。主体可以是静态文本，也可以包含`mustache` 模板。
`request.indices_options.expand_wildcards`	否	`open`	确定如何展开索引通配符。由`open`、`closed`和`hidden`组合组成的数组。或者`none`或`all`值。（参见多目标语法）
`request.indices_options.ignore_unavailable`	否	`true`	一个布尔值，确定搜索是否应宽松地忽略不可用的索引（参见多目标语法）
`request.indices_options.allow_no_indices`	否	`true`	一个布尔值，确定当没有解析索引时搜索是否应宽松地返回无结果（参见多目标语法）
`request.template`	否	-	搜索模板的主体。有关更多信息，请参见配置模板。
`timeout`	否	30s	等待搜索 api 调用返回的超时时间。如果在此时间内未返回响应，则搜索负载转换超时并失败。此设置会覆盖默认超时。

模板支持

编辑

搜索负载转换支持 mustache 模板。这可以作为主体定义的一部分，或者可以指向现有模板（在文件中定义或存储为 Elasticsearch 中的脚本）。

例如，以下代码片段显示了引用监视计划时间的搜索

{
  "transform" : {
    "search" : {
      "request" : {
        "indices" : [ "logstash-*" ],
        "body" : {
          "size" : 0,
          "query" : {
            "bool" : {
              "must" : {
                "match" : { "priority" : "error"}
              },
              "filter" : [
                {
                  "range" : {
                    "@timestamp" : {
                      "gte" : "{{ctx.trigger.scheduled_time}}||-30s",
                      "lte" : "{{ctx.trigger.triggered_time}}"
                    }
                  }
                }
              ]
            }
          }
        }
      }
    }
  }
}

模板的模型是提供的template.params设置和标准监视执行上下文模型之间的联合。

以下是使用引用提供参数的模板的示例

{
  "transform" : {
    "search" : {
      "request" : {
        "indices" : [ "logstash-*" ],
        "template" : {
          "source" : {
            "size" : 0,
            "query" : {
              "bool" : {
                "must" : {
                  "match" : { "priority" : "{{priority}}"}
                },
                "filter" : [
                  {
                    "range" : {
                      "@timestamp" : {
                        "gte" : "{{ctx.trigger.scheduled_time}}||-30s",
                        "lte" : "{{ctx.trigger.triggered_time}}"
                      }
                    }
                  }
                ]
              }
            },
            "params" : {
              "priority" : "error"
            }
          }
        }
      }
    }
  }
}

« 负载转换 Watcher 脚本负载转换 »