elasticsearch - 查询elasticsearch —获取每个节点，每个主机的文档数

Question

好的，因此架构是在连接到ELK堆栈的每个主机上运行多个节点(3到5之间)。

我正在尝试编写一个查询，该查询基本上将说明每个主机和每个节点上出现多少个文档。

现在节点是它自己的字段...

我将在kibana中查询此问题的方式类似于

主机:“1-18”，节点:03

将拉起该主机...我试图确定每个主机以及该主机上的每个节点在过去的24小时内存在多少个文档，并且查询没有任何意义。当我尝试使用2个字段时，它不起作用。当我尝试使用2个范围时也不起作用。

我使用以下命令获取每个主机的文档计数:

{"size": 0,"aggs" : {"langs" : {"terms" : { "field" : "host" }}}}

添加每个节点的聚合难吗？

Answer 1

您只需要在host一个下添加一个子聚合，如下所示:

{
  "size": 0,
  "aggs": {
    "hosts": {
      "terms": {
        "field": "host"
      },
      "aggs": {
        "nodes": {
          "terms": {
            "field": "node"
          }
        }
      }
    }
  }
}

在Kibana中，可以通过进入“可视化”选项卡并选择一个饼图来直观地执行此操作。然后在 terms字段上使用 host聚合，然后单击“+添加子存储桶”，然后在 terms字段上使用另一个 node聚合。