Question

我现在正在配置Watcher来搜索访问日志并查看到目前为止有多少错误并将其发送到松弛帐户。好吧，我遇到的问题是因为我不知道在完成查询时我将拥有多少聚合，而在我的配置中，就像“硬编码”一样，最多只发送5次，但如果结果比5不起作用。

我在查询中搜索404状态代码并仅过滤一个服务器，然后我只需将所有存储桶结果作为通知发送：

总计：总数日志： log1：结果数 log2：结果数量 log3：结果数量 log4：结果数量 log5：结果数量 log6：结果数

这是我的配置：

  "trigger" : {
    "schedule" : { "interval" : "1h" } 
  },
  "input" : {
    "search" : {
      "request": {
      "body": {
        "query": { 
          "bool": {
            "must": [
              { "range": {
                "@timestamp": {
                  "gte": "now-1h",
                  "lte": "now"
                }
                }
              }, 
              {
                "match": {
                  "beat.hostname": "someserver"
                }
              }
            ], 
            "filter": {
              "term": {
                "response": "404"
              }
            }
          }
        },
        "aggs": {
          "host": {
            "terms": {
              "field": "beat.hostname",
              "size": 1
            }
          },
          "logs_list": {
            "terms": {
              "field": "source",
              "size": 10
            }
          }
        }
       }
      }
    }
  },
    "condition": {
    "compare" : { "ctx.payload.hits.total" : { "gt" : 0 }}
  },
  "actions" : {
    "notify-slack" : {
      "throttle_period" : "30m",
      "slack" : {
        "message" : {
          "from": "Watcher",
          "to" : [ "somechannel" ],
          "attachments" : [
          {
            "title" : "400 code status found",
            "text" : "Encountered: {{ctx.payload.hits.total}} in the last hour on {{ctx.payload.aggregations.host.buckets.0.key}} \n Files: \n {{ctx.payload.aggregations.logs_list.buckets.0.key}}: {{ctx.payload.aggregations.logs_list.buckets.0.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.1.key}}: {{ctx.payload.aggregations.logs_list.buckets.1.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.2.key}}: {{ctx.payload.aggregations.logs_list.buckets.2.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.3.key}}: {{ctx.payload.aggregations.logs_list.buckets.3.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.4.key}}: {{ctx.payload.aggregations.logs_list.buckets.4.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.5.key}}: {{ctx.payload.aggregations.logs_list.buckets.5.doc_count}}",
            "color" : "danger"
          }
        ]
        }
      }
    }
  }

我不知道如何在动作中发送“文本”，任何想法我应该如何传递所有桶结果？在此先感谢，我正在使用xpack，ELK和logstash。

Answer 1

如果我正确理解您的问题，您希望在操作中循环聚合。试试这个：

{{#ctx.payload.aggregations.myAggName.buckets}}
    {{key}}: {{doc_count}}
{{/ctx.payload.aggregations.myAggName.buckets}}

使用Watcher（ElasticSearch）将所有聚合作为文本发送

1 个答案: