如何为 Kibana 合并两个 ElasticSearch 文档

Question

我在 ElasticSearch 中有以下“工作”表，其中包含三列：TIME、JOB_NAME 和 JOB_STATUS（开始或结束）。 每次作业开始或结束时，它都会作为单独的文档发送到 ElasticSearch（通过 Logstash）

我想在 Kibana 中搜索所有已开始和尚未结束的工作。

如何按 JOB_NAME 进行分组，并且只显示那些有“损害”计数的？ （例如 TWO STARTS 和 ONE END）或者理想情况下，显示所有 STARTS 多于 ENDS 的作业

Answer 1

由于您已经在使用 Logstash，我将使用 enrichment lookup 并以结束更新开始事件。这将使您以后的可视化变得更加容易 - 只需获取所有事件而没有结束。

否则，您也许可以在查询时使用 bucket selector aggregation 对不平衡存储桶执行此操作，但我不确定这对 Kibana 可视化是否有帮助。