elasticsearch - Kibana可视化能否按_size之类的元字段进行汇总？

Question

我想想像一下我们的平均Elasticsearch文档大小如何随时间变化。

我们使用ElasticSearch v7.1。我们使用AWS ElasticSearch服务和Mapper Size Plugin is installed。

我在索引上启用了_size字段。 ref

在Kibana“发现”中，我可以使用:_size: <900查找小型文档。

或者我可以从命令行查询:curl -H 'Content-Type: application/json' -s http://es.example.com/logstash-2019.10.17/_search -d '{"query": {"range": {"_size": { "lt": 900 }}}}' | jq .

现在，我想创建一个Kibana可视化文件，例如，日期中位数为 _size， 的日期直方图，但是Kibana“Visualize”不允许我选择_size作为聚合字段。有没有办法可视化文档的大小？

_size是“ meta-field”。

_size The size of the _source field in bytes, provided by the mapper-size plugin.

也许Kibana不支持“元字段”吗？

当不使用Kibana“Visualize”时，我可以按 _size进行汇总:

curl -H 'Content-Type: application/json' -s http://es.example.com/logstash-2019.10.17/_search -d '{
  "query": {
    "range": {
      "_size": {
        "gt": 10
      }
    }
  },
  "aggs": {
    "sizes": {
      "terms": {
        "field": "_size",
        "size": 10
      }
    }
  },
  "sort": [
    {
      "_size": {
        "order": "desc"
      }
    }
  ]
}' | jq .

Answer 1

如果您在Kibana中使用Management-> Elasticsearch index management，则可以看到特定的索引，该索引为:



有些字段未启用Aggretable。
检查其他字段，并在此列中看到它们具有圆圈。
这就是为什么Kibana Visualize不允许您选择_size作为aggregation field的原因。

也许您可以使用https://www.elastic.co/guide/en/kibana/current/scripted-fields.html
如果通过Kibana将允许您在脚本内使用_size字段，并且通过我在前面提到的某种意义上说，该字段将是Aggretable，则可以通过创建其他字段来使其工作。