Kibana 可视化分割带有破折号的字段答案

【问题标题】：Kibana visualizations splitting fields with dashes in themKibana 可视化分割带有破折号的字段
【发布时间】：2015-04-30 14:29:19
【问题描述】：

我正在 Kibana 中为 AWS CloudWatch 指标构建可视化，但在创建指标表时遇到了一些问题。Kibana 正在拆分我的包含短划线（实例 ID、区域等）的字段。

它不是创建具有实例 ID 的单个行，例如 i-7bb06dzz，而是创建 2 行：i & 7bb06dzz。 “i”显示所有其他字段的总计数。如果我在区域中添加第二个拆分，则区域名称中的每一组字符也会重复此拆分，并用破折号分隔。（us 、east 和 1 而不仅仅是 us-east-1）。

我试图发布截图，但我的声誉还不够高。这是我的可视化设置：

Metrics: Metric (Count)

Aggregations: 
Split Rows: Terms: InstanceID: Top 5: Order by metric:Count
Split Rows: Terms: Region: Top 5: Order by metric:Count

没有指定高级设置。通过仅指定 InstanceID 并排除模式“i”，我能够获得一个看起来合理的列表......但是，当我无法在它旁边显示区域时，它对我没有多大好处。这两个值都被索引为字符串，并在 ElasticSearch 中用双引号括起来记录。

任何关于如何按预期显示字段的建议将不胜感激。

【问题讨论】：

标签： elasticsearch kibana

【解决方案1】：

这是因为 Elasticsearch 会“分析”字段中的各个标记。 Logstash 将在 fieldname 和 fieldname.raw 字段中存储字段 - 后者未经分析，将按照您的预期运行。

【讨论】：

感谢 Chris，我刚刚在 github 上找到了解决方案，您说的完全正确。我没有使用 LogStash，所以我发布了来自：raw.githubusercontent.com/elasticsearch/logstash/v1.3.3/lib/… 的映射，并将我的字段复制为原始字段。一旦我将可视化调整为原始格式，我就得到了预期的结果。
如果您不需要同时使用analyzed 和not_analyzed 版本，则不要创建.raw 字段，只需将main 字段设置为not_analyzed。根据您的使用情况，这可以在映射或模板中完成。