目前我这边作为日志用的ELK情况如下:
一个ES集群上有多种日志，例如aaa-applog-*,bbb-systemlog-*等，分别存放不同业务不同类型的日志。有些日志量还比较大，比如个别的1天有几百G或者几个T。
每种日志都是按天创建索引，每天跑脚本关闭(3-7不等)天前的索引，删除(30-90不等)天前的索引。
对于已关闭索引，也就是历史日志，开发需要查询时可以提工单，自动执行脚本打开索引。
开发人员都是通过kibana查询日志，版本为5.6.3。
由于某种日志有可能出现同时有很多天的索引都在打开状态，特别需要kibana做到只查询与搜索日期范围相关的索引。
例如今天是3.26号，查询aaa-applog-*的15分钟内的日志时，kibana只在aaa-applog-2020.03.26里找，查询最近24小时日志时，只在aaa-applog-2020.03.25、aaa-applog-2020.03.26里找。
这个功能在kibana5.6.3上应该是对应 "Expand index pattern when searching [DEPRECATED]" 选项
默认不勾选时，对应.kibana索引里，相关index-pattern设置的 "notExpandable": true参数, 按说明来看，不勾选时，会查询匹配到的所有索引，如果之前的索引都开着，那么这些索引也会被查到
如果勾选时，对应"notExpandable": false (默认参数所以不显示)，按说明，这时会按我的需求，只查询与指定日期相关的索引。
但我实际测试情况是这样：
1. kibana 5.6.3上不管是不是勾选这一项，效果都相当于"notExpandable": false ，即我要的只查询与指定日期相关的索引。
2. kibana 7以上版本，已经没有了这个选项，效果相当于"notExpandable": true，即我不想要的会查询所有索引。
现在我有几个疑问：
1. 前面测试的情况1中，为什么勾不勾效果都相同呢？
2.前面测试的情况2中，按道理ES7版本应该是能更智能的匹配适合的索引，更少的占用资源，为什么反而变成匹配所有索引了呢，是因为es7优化过，同时查询所有索引已经不再占用资源了吗？
2. 在"notExpandable": false的情况下，kibana是根据什么样的日期格式来匹配到与指定日期范围有关的索引的呢，比如aaa-applog-2020.03.26、aaa-applog-20200326、aaa-applog-2020-03-26、aaa-applog20200326这些都能识别到吗
一个ES集群上有多种日志，例如aaa-applog-*,bbb-systemlog-*等，分别存放不同业务不同类型的日志。有些日志量还比较大，比如个别的1天有几百G或者几个T。
每种日志都是按天创建索引，每天跑脚本关闭(3-7不等)天前的索引，删除(30-90不等)天前的索引。
对于已关闭索引，也就是历史日志，开发需要查询时可以提工单，自动执行脚本打开索引。
开发人员都是通过kibana查询日志，版本为5.6.3。
由于某种日志有可能出现同时有很多天的索引都在打开状态，特别需要kibana做到只查询与搜索日期范围相关的索引。
例如今天是3.26号，查询aaa-applog-*的15分钟内的日志时，kibana只在aaa-applog-2020.03.26里找，查询最近24小时日志时，只在aaa-applog-2020.03.25、aaa-applog-2020.03.26里找。
这个功能在kibana5.6.3上应该是对应 "Expand index pattern when searching [DEPRECATED]" 选项
默认不勾选时，对应.kibana索引里，相关index-pattern设置的 "notExpandable": true参数, 按说明来看，不勾选时，会查询匹配到的所有索引，如果之前的索引都开着，那么这些索引也会被查到
如果勾选时，对应"notExpandable": false (默认参数所以不显示)，按说明，这时会按我的需求，只查询与指定日期相关的索引。
但我实际测试情况是这样：
1. kibana 5.6.3上不管是不是勾选这一项，效果都相当于"notExpandable": false ，即我要的只查询与指定日期相关的索引。
2. kibana 7以上版本，已经没有了这个选项，效果相当于"notExpandable": true，即我不想要的会查询所有索引。
现在我有几个疑问：
1. 前面测试的情况1中，为什么勾不勾效果都相同呢？
2.前面测试的情况2中，按道理ES7版本应该是能更智能的匹配适合的索引，更少的占用资源，为什么反而变成匹配所有索引了呢，是因为es7优化过，同时查询所有索引已经不再占用资源了吗？
2. 在"notExpandable": false的情况下，kibana是根据什么样的日期格式来匹配到与指定日期范围有关的索引的呢，比如aaa-applog-2020.03.26、aaa-applog-20200326、aaa-applog-2020-03-26、aaa-applog20200326这些都能识别到吗
0 个回复