Elasticsearch查询性能（如果有多个字段还是只有一个字段）？

Question

我正在从事涉及在Remedy日志文件中搜索不同模式的项目。 Logstash将消息字段分为多个字段JSON文档或手动创建仅一个字段的JSON文档并将其提供给Elasticsearch是有利的。据我所知，elasticsearch在手动生成的仅包含一个字段的JSON文档中表现出色。所以我必须在这些应用程序中真正使用logstash吗

Answer 1

通过将所有内容放在一个字段中，您将只能使用弹性搜索的搜索功能。 尽管Elasticsearch是一个功能强大的搜索引擎，但对我而言，将自己限制为仅搜索并没有多大意义。 通过将数据划分为多个字段，您将能够释放elasticsearch的全部分析功能，并使用例如Kibana可视化您的数据。 仅举一个例子，只需提取一个时间戳字段，您将不仅可以搜索某些事件，还可以绘制该事件如何及时分布的直方图。 通过提取事件和源的严重性，您将能够查看导致大多数问题的源，等等。 我认为长期而言这是值得的。