elasticsearch - Kibana:如何基于两个字段进行可视化

Question

我已经通过Elasticsearch将Weblog导入了Logstash中。这已成功完成。

我在日志文件(clientip)中有一个总是填充的字段，而另一个有时是填充的(trueclientip)字段。我想基于两者的结合进行汇总；例如如果trueclientip不为空，则使用clientip。

如何使用Kibana中的可视化实现此目的？我需要生成一个脚本字段还是有另一种方法？

谢谢。

Answer 1

定义一个脚本字段，该字段应具有以下公式:doc['trueclientip'].value ? doc['trueclientip'].value : doc['clientip'].value并在聚合中使用。

但是，此脚本字段功能和ip类型有一个缺点:您从脚本中得到的似乎是数字本身(这是逻辑，因为Kibana 4中的脚本字段仅使用Lucene表达式作为语言)，而不是字符串表示形式。内部IP实际上是Lucene中的long数字。

例如，127.0.0.1在内部表示为2130706433。这就是您将在Visualize中看到的内容。

实际上，这并不理想，最好在脚本字段中使用更高级的脚本语言，但使用github issue already exists即可。