elasticsearch - 添加where子句以聚合查询

Question

这是kibana生成的查询，它按预期运行。但是我想在查询中再添加一个where子句。事件名称不应以“描述”或“列表”开头。

{
  "size": 0,
  "query": {
    "bool": {
      "must": [
        {
          "query_string": {
            "query": "*",
            "analyze_wildcard": true
          }
        },
        {
          "range": {
            "@timestamp": {
              "gte": 1490867646696,
              "lte": 1493459646696,
              "format": "epoch_millis"
            }
          }
        }
      ],
      "must_not": []
    }
  },
  "_source": {
    "excludes": []
  },
  "aggs": {
    "2": {
      "terms": {
        "field": "eventName.keyword",
        "size": 5000,
        "order": {
          "_count": "desc"
        }
      }
    }
  }
}

更新:
我不确定这是否会正确排除记录。

      "must_not": [     
{ 
    "prefix" : { "eventName.keyword" : "Describe" }
},
{ 
    "prefix" : { "eventName.keyword" : "List" }
}
]

如何使该查询返回到kibana？

Answer 1

您可以通过以下方式之一获得预期的结果:

方法-1:自定义现有的query_string查询

将Kibana搜索栏中的默认query_string查询*替换为以下查询字符串:

!(eventName.keyword: Describe* OR eventName.keyword: List*)

方法2:在Kibana中添加过滤器

如所描述的here

在Kibana中添加过滤器

然后edit the filter并将整个过滤器替换为以下代码:

`

{
  "query": {
    "bool": {
      "must_not": [
        {
          "prefix": {
            "eventName.keyword": "Describe"
          }
        },
        {
          "prefix": {
            "eventName.keyword": "List"
          }
        }
      ]
    }
  }
}

`