使用 ES|QL 查询多个索引

使用 ES|QL，您可以在多个索引、数据流或别名上执行单个查询。为此，请使用通配符和日期运算。以下示例使用逗号分隔列表和通配符

FROM employees-00001,other-employees-*

使用 <remote_cluster_name>:<target> 格式来查询远程集群上的数据流和索引

FROM cluster_one:employees-00001,cluster_two:other-employees-*

当查询多个索引、数据流或别名时，您可能会发现同一个字段映射到多个不同的类型。例如，考虑具有以下字段映射的两个索引

索引：events_ip

{
  "mappings": {
    "properties": {
      "@timestamp":     { "type": "date" },
      "client_ip":      { "type": "ip" },
      "event_duration": { "type": "long" },
      "message":        { "type": "keyword" }
    }
  }
}

索引：events_keyword

{
  "mappings": {
    "properties": {
      "@timestamp":     { "type": "date" },
      "client_ip":      { "type": "keyword" },
      "event_duration": { "type": "long" },
      "message":        { "type": "keyword" }
    }
  }
}

当您使用类似 FROM events_ip 的简单查询单独查询每个索引时，结果将提供类型特定的列

FROM events_ip
| SORT @timestamp DESC

请注意，client_ip 列被正确识别为 ip 类型，并且所有值都已显示。但是，如果查询改为使用 FROM events_* 从两个冲突的索引获取数据，则 client_ip 列的类型无法确定，并报告为 unsupported，所有值都返回为 null。

FROM events_*
| SORT @timestamp DESC

此外，如果查询直接引用此不受支持的字段，则查询将失败

FROM events_*
| SORT client_ip DESC

Cannot use field [client_ip] due to ambiguities being mapped as
[2] incompatible types:
    [ip] in [events_ip],
    [keyword] in [events_keyword]

ES|QL 提供了一种处理字段类型不匹配的方法。当同一个字段在多个索引中映射到多个类型时，该字段的类型被理解为索引映射中各种类型的联合。如前面的示例所示，此联合类型不能在结果中使用，也不能被查询引用 — 除非在 KEEP、DROP 中，或者当它传递给一个接受联合中所有类型并将该字段转换为单一类型的类型转换函数时。ES|QL 提供了一套类型转换函数来实现此目的。

在上面的示例中，查询可以使用类似 EVAL client_ip = TO_IP(client_ip) 的命令将 ip 和 keyword 的联合解析为仅 ip。您也可以使用类型转换语法 EVAL client_ip = client_ip::IP。或者，查询可以使用 TO_STRING 将所有支持的类型转换为 KEYWORD。

例如，使用 TO_IP 函数或等效的 field::ip 语法可以改进返回 client_ip:unsupported 和 null 值的查询。这些更改还可以解决错误消息。只要对原始字段的唯一引用是将其传递给解决类型歧义的转换函数，就不会出现任何错误。

FROM events_*
| EVAL client_ip = TO_IP(client_ip)
| KEEP @timestamp, client_ip, event_duration, message
| SORT @timestamp DESC

了解每行来自哪个特定的索引可能很有帮助。要获取此信息，请在 FROM 命令上使用 METADATA 选项。

FROM events_* METADATA _index
| EVAL client_ip = TO_IP(client_ip)
| KEEP _index, @timestamp, client_ip, event_duration, message
| SORT @timestamp DESC