ELK：将多个事件合并为一个

Question

我的系统记录请求。

如果响应到达，我想用请求对象记录它。

意思是，当我查询ElasticSearch的活动时，我会为每个请求获取一行，或者包含响应。这类似于SQL LEFT OUTER JOIN。

我对Logstash-ElasticSearch管道中的各个解决方案持开放态度。但是，由于这是时间序列数据，因此聚合桶不是可能的解决方案，因为它们会阻止分页。

感谢。

Answer 1

您最好的选择是每次登录时都将请求与响应一起存储。您还可以在Elasticsearch中使用脚本化查询 - 复杂的解决方案，但可以正常工作。