New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« 获取已保存查询 API 更新已保存查询 API »
Elastic 文档 ›Kibana 指南 [8.17] ›REST API ›Osquery 管理器 API

创建已保存查询 API

编辑

创建已保存查询 API

编辑

新的 API 参考

有关最新的 API 详细信息，请参阅 Osquery APIs。

[预览] 此功能为技术预览版，可能会在未来的版本中更改或删除。Elastic 将努力解决任何问题，但技术预览版中的功能不受官方 GA 功能的支持 SLA 的约束。 创建已保存的查询。

请求

编辑

POST <kibana 主机>:<端口>/api/osquery/saved_queries

POST <kibana 主机>:<端口>/s/<空间 ID>/api/osquery/saved_queries

路径参数

编辑
space_id
（可选，字符串）空间标识符。当 URL 中未提供 space_id 时，将使用默认空间。

请求正文

编辑
id
（必需，字符串）已保存查询的名称。
description
（可选，字符串）已保存查询的描述。
platform
（可选，字符串）将查询限制为指定的平台。默认值为所有平台。要指定多个平台，请使用逗号分隔。例如，linux,darwin。
query
（必需，字符串）您要运行的 SQL 查询。
version
（可选，字符串）使用大于或等于指定版本字符串的 Osquery 版本。
interval
（可选，字符串）运行查询的间隔（以秒为单位）。
ecs_mapping
（可选，对象）将 Osquery 结果列或静态值映射到 ECS 字段。
timeout
（可选，数字）超时时间段（以秒为单位），超过此时间后查询将停止运行。覆盖默认超时时间可以支持需要更多时间才能完成的查询。默认值和最小支持值为 60。最大支持值为 900。

响应代码

编辑
200
指示调用成功。

示例

编辑

创建已保存的查询

$ curl -X POST api/osquery/saved_queries \
{
  "id": "saved_query_id",
  "description": "Saved query description",
  "query": "select * from uptime;",
  "interval": "60",
  "timeout": 120,
  "version": "2.8.0",
  "platform": "linux,darwin",
  "ecs_mapping": {
    "host.uptime": {
      "field": "total_seconds"
    }
  }
}
Copy as curl 

API 返回已保存的查询对象

{
    "data": {...}
}
« 获取已保存查询 API 更新已保存查询 API »

On this page

Was this helpful?
Feedback