elasticsearch - 当与查询匹配的所有文档的字段总和超过某个值时，如何触发 elastalert

Question

elastalert是否可以在匹配查询的所有文档的某个字段之和超过某个值时触发？假设每个文档都有一个“价格”值 - 例如，当最后一天的“价格”值之和超过 200 时，是否可以触发 elastalert？

示例文档:

{
  type: "transaction",
  price: 20.32
}

英文规则示例:

过去一小时所有type='transaction'的文档总和超过200

Answer 1

ElastAlert 不支持开箱即用。

有 an open issue尚未解决，以及相关的pull request尚未合并。

但是，您可以按照问题中描述的步骤并使用 contributed patch 自行修改 ElastAlert。 .应该很简单。