Elasticsearch脚本查询主机名

Question

我希望创建一个脚本，该脚本将查询多个主机名，如果不在索引中，并提供了未找到的结果，并提供了在服务器上找到文档的主机和计数。到目前为止，我已经有效了，但是我不确定如何使其查询多个服务器并提供正确的结果。任何帮助将不胜感激。

GET /index1*/_search
{
  "query": {
    "bool": {
      "must": [
        {
          "range": {
            "@timestamp": {
              "gte": "now-7d",
              "lt": "now"
            }
          }
        },
        {
          "term": {
            "host.name": "server1"
          }
        }
      ]
    }
  },
  "aggregations": {
    "hosts": {
      "composite": {
        "size": 1000,
        "sources": [
          {
            "hostname": {
              "terms": {
                "field": "host.name"
              }
            }
          }
        ]
      }
    }
  },
  "size": 0

Answer 1

到目前为止的开端很棒！您可以简单地将术语查询到项一个。另外，您需要利用缺少存储桶未找到结果的功能：

GET /index1*/_search
{
  "query": {
    "bool": {
      "must": [
        {
          "range": {
            "@timestamp": {
              "gte": "now-7d",
              "lt": "now"
            }
          }
        },
        {
          "terms": {
            "host.name": ["server1", "server2", "server3"]
          }
        }
      ]
    }
  },
  "aggregations": {
    "hosts": {
      "composite": {
        "size": 1000,
        "sources": [
          {
            "hostname": {
              "terms": {
                "field": "host.name",
                "missing_bucket": true,
                "missing_order": "last"
              }
            }
          }
        ]
      }
    }
  },
  "size": 0
}

在给定时间间隔期间具有文档的所有服务器都将有存储桶，其他所有服务器都将在“ null”存储桶中。