elasticsearch - 如何在elasticsearch中控制和轮换存储数据

Question

你能帮帮我吗？我想将 logstash + elasticsearch + kibana 用于用户友好的映射日志。请解释一下。我不明白 elasticsearch 在哪里存储数据(例如我的日志)以及如何轮换它？

Answer 1

Elasticsearch 以一种您无法在 Elasticsearch API 之外修改的方式存储数据。从 logstash 进入的数据通常进入带日期戳的索引(即 logstash-%{+YYYY.MM.dd})。

您可以使用 Elasticsearch Curator让它删除超过一定天数的索引。文档显示了这个例子:

curator --host localhost delete indices --older-than 30 --time-unit days --timestring '%Y.%m.%d'

---

对于版本为 5.7.6 的 curoator，您应该使用 Singleton 命令行界面 模式运行命令，如下所示:

curator_cli --host elasticsearch delete_indices --filter_list '{"filtertype":"age","source":"name","direction": "older","timestring":"%Y.%m.%d","unit":"days","unit_
count":30}'

引用:https://www.elastic.co/guide/en/elasticsearch/client/curator/5.7/singleton-cli.html

这将连接到当前节点上的 Elasticsearch 并删除任何超过 30 天的索引。