使用ElastAlert框架创建flatline
警报类型。
当我在Kibana UI中使用具有完全相同语法的查询时,它会返回结果,但ElastAlert不会返回任何结果。
这是我的elastalert-rule-file.xml
name: Test Flatline
type: flatline
run_every:
seconds: 15
relalert:
minutes: 0
es_host: localhost
es_port: 9200
threshold: 1
timeframe:
minutes: 5
index: my-index-*
filter:
- query:
query_string:
query: "_type:metric" # this returns results in both kibana and elastalert
#query: "_type:metric AND _exists_:My\ Field\ With\ Spaces.value" # this returns results in kibana but not in elastalert
timestamp_type: unix_ms
alert:
- command
command: ["my-bash-script.sh"]
所以我尝试使用查询,如果我只指定_type:metric
,那么Kibana中的搜索结果似乎与ElastAlert中的搜索结果相匹配。
然而,当我尝试在第二个查询中使用带有_exists_
lucene语法的查询时,ElastAlert没有返回任何内容,而Kibana似乎没有语法。
有什么想法吗?
答案 0 :(得分:0)
我明白了......只是忘了发一个答案。
显然对于带空格的字段,您需要转义反斜杠,以便相关的行看起来像这样:
query: "_type:metric AND _exists_:My\\ Field\\ With\\ Spaces.value"
此外,在使用Ansible(YAML)配置的特殊情况下,您需要添加反斜杠以转义每个反斜杠。
因此,YAML文件中的条目如下所示:
query: "My\\\\ field\\\\ With\\\\ Spaces.value"
答案 1 :(得分:0)
您可以通过对字段数据使用双引号来避免转义:
query: '_type:metric AND _exists_:"My Field With Spaces.value"'