如何在 ElastAlert 中调整 Kibana Dashboard 链接

Question

我写了以下规则

type: frequency

filter:
- query:
    query_string:
      query: "category:foo.bar AND msg._:*Failure*"

alert_text: "Total number of errors cross threshold..... <a href='{0}'>Kibana link</a>"
alert_text_args:
  - kibana_link
alert_text_type: alert_text_only

我的 config.yaml 是

# Kibana Dashboard
use_kibana4_dashboard: http://mykibana.com/

当出现警报时，我单击了我在消息中添加的超链接。它会将我带到我的仪表板。

但我想要的是，它不是仪表板，而是进入数据发现屏幕，并在那里发出与发出警报时发出的完全相同的查询。

这样我想准确地看到 elastalert 在发出警报时看到的查询结果。

Answer 1

实际上，我能够自己解决这个问题。我在这里写我的解决方案。

所以基本上，我在 kibana 中进行了与上述条件完全相同的搜索并保存了该搜索。接下来我创建了一个仪表板并将保存的查询拉入仪表板。

接下来，我将规则指向包含已保存查询的新仪表板。

当链接生成时，elastalert 会以时间段注入超链接的方式创建链接。当您单击该链接时，您将看到警报所看到的确切内容。