Kibana 概念
编辑Kibana 概念
编辑了解分析和可视化数据的一些共享概念
作为分析师，您将使用多种 Kibana 应用程序来分析和可视化数据。Kibana 包含通用应用程序和针对 企业搜索、Elastic 可观测性 和 Elastic 安全 解决方案的应用程序。这些应用程序共享一组共同的概念。
关于 Elasticsearch 的三点须知
编辑您不需要了解 Elasticsearch 的所有内容即可使用 Kibana，但最重要的概念如下所示
查找您的应用程序和对象
编辑Kibana 在每个页面上都提供了一个 全局搜索栏，您可以使用它来查找任何应用程序或已保存的对象。使用键盘快捷键 Ctrl+/（Windows 和 Linux）或 Command+/（MacOS）打开搜索栏。
使用数据视图访问数据
编辑Kibana 需要一个数据视图来告诉它要访问哪些 Elasticsearch 数据以及数据是否是基于时间的。数据视图可以通过名称指向一个或多个 Elasticsearch 数据流、索引或索引别名。
将数据发送到 Elasticsearch 时，通常由管理员创建数据视图。您可以在 堆栈管理 中 创建或更新数据视图，或者使用访问 Kibana API 的脚本。
Kibana 使用数据视图向您显示字段列表，例如 event.duration。您可以自定义每个字段的显示名称和格式。例如，您可以告诉 Kibana 以秒为单位显示 event.duration。Kibana 具有用于字符串、日期、地理点和数字的 字段格式化程序。
搜索您的数据
编辑Kibana 提供了几种构建搜索查询的方法，这些方法将减少您从 Elasticsearch 获得的文档匹配数量。Kibana 应用程序提供时间过滤器，大多数应用程序还包括半结构化搜索和额外过滤器。
如果您经常使用任何搜索选项，请单击半结构化搜索旁边的 
以保存或加载先前保存的查询。已保存的查询始终包含半结构化搜索查询，以及可选的时间过滤器和额外过滤器。
时间过滤器
编辑全局时间过滤器 限制显示数据的时段。在大多数情况下，时间过滤器应用于数据视图中的时间字段，但某些应用程序允许您使用不同的时间字段。
使用时间过滤器，您可以配置刷新率以定期重新提交搜索。
要手动重新提交搜索，请单击 刷新 按钮。当您使用 Kibana 查看基础数据时，这非常有用。
半结构化搜索
编辑使用 Kibana 查询语言 (KQL) 将自由文本搜索与基于字段的搜索相结合。键入搜索词以匹配所有字段，或开始键入字段名称以获取您可以用来构建结构化查询的字段名称和运算符的建议。半结构化搜索将过滤匹配的文档，并且仅返回匹配的文档。
以下是一些 KQL 查询示例。有关更详细的示例，请参阅 Kibana 查询语言。
精确短语查询 |
|
术语查询 |
http.response.status_code:400 401 404 |
布尔查询 |
|
范围查询 |
|
通配符查询 |
|
使用 AND 的附加过滤器
编辑结构化过滤器是创建 Elasticsearch 查询的更具交互性的方法，通常用于构建由多个分析师共享的仪表板。每个过滤器都可以在所有应用程序中禁用、反转或固定。每个结构化过滤器都与查询的其余部分使用 AND 逻辑组合。
保存对象
编辑Kibana 允许您保存对象以供自己将来使用或与他人共享。每个 已保存的对象 类型都有不同的功能。例如，您可以保存使用 Discover 进行的搜索查询，这使您可以
- 共享搜索链接
- 以 CSV 格式下载完整的搜索结果
- 使用相同的搜索查询启动聚合可视化
- 将 Discover 搜索结果嵌入到仪表板中
- 将 Discover 搜索结果嵌入到 Canvas 工作台中
为了组织，每个已保存的对象都可以具有名称、标签 和类型。使用全局搜索快速打开已保存的对象。