使用 Watcher (ElasticSearch) 将所有聚合作为文本发送

Question

我现在正在配置 Watcher 以在访问日志中搜索并查看到目前为止有多少错误并将其发送到一个 slack 帐户。好吧，我遇到的问题是因为我不知道查询完成后会有多少聚合，并且在我的配置中类似于 "hardcoded" 最多发送 5 个，但如果结果是大于 5 无效。

我在查询中搜索 404 状态代码并仅为一台服务器过滤，然后我只需要将所有存储桶结果作为通知发送为：

总计：它的总数日志： log1：结果数 log2：结果数 log3：结果数 log4：结果数 log5：结果数 log6：结果数

这是我的配置：

  "trigger" : {
    "schedule" : { "interval" : "1h" } 
  },
  "input" : {
    "search" : {
      "request": {
      "body": {
        "query": { 
          "bool": {
            "must": [
              { "range": {
                "@timestamp": {
                  "gte": "now-1h",
                  "lte": "now"
                }
                }
              }, 
              {
                "match": {
                  "beat.hostname": "someserver"
                }
              }
            ], 
            "filter": {
              "term": {
                "response": "404"
              }
            }
          }
        },
        "aggs": {
          "host": {
            "terms": {
              "field": "beat.hostname",
              "size": 1
            }
          },
          "logs_list": {
            "terms": {
              "field": "source",
              "size": 10
            }
          }
        }
       }
      }
    }
  },
    "condition": {
    "compare" : { "ctx.payload.hits.total" : { "gt" : 0 }}
  },
  "actions" : {
    "notify-slack" : {
      "throttle_period" : "30m",
      "slack" : {
        "message" : {
          "from": "Watcher",
          "to" : [ "somechannel" ],
          "attachments" : [
          {
            "title" : "400 code status found",
            "text" : "Encountered: {{ctx.payload.hits.total}} in the last hour on {{ctx.payload.aggregations.host.buckets.0.key}} \n Files: \n {{ctx.payload.aggregations.logs_list.buckets.0.key}}: {{ctx.payload.aggregations.logs_list.buckets.0.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.1.key}}: {{ctx.payload.aggregations.logs_list.buckets.1.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.2.key}}: {{ctx.payload.aggregations.logs_list.buckets.2.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.3.key}}: {{ctx.payload.aggregations.logs_list.buckets.3.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.4.key}}: {{ctx.payload.aggregations.logs_list.buckets.4.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.5.key}}: {{ctx.payload.aggregations.logs_list.buckets.5.doc_count}}",
            "color" : "danger"
          }
        ]
        }
      }
    }
  }

我不知道我应该如何在操作中发送 "text"，我应该如何传递所有存储桶结果有什么想法吗？提前致谢，我正在使用 xpack、ELK 和 logstash。

Answer 1

如果我正确理解你的问题，你想在操作中循环你的聚合。试试这个：

{{#ctx.payload.aggregations.myAggName.buckets}}
    {{key}}: {{doc_count}}
{{/ctx.payload.aggregations.myAggName.buckets}}

使用 Watcher (ElasticSearch) 将所有聚合作为文本发送

Send all the aggregations as text with Watcher (ElasticSearch)

elasticsearch

logstash

kibana