过滤 Elasticsearch 术语查询

Question

我正在寻找任何用户最后一次登录的时间。

我有两种身份验证类型（管理员、客户端），并且正在尝试执行查询以查找事件：身份验证成功其中身份验证类型：客户端

我最接近的是：

params='{ "query":{"terms":{"event_type":["authentication_succeeded"]}}}'
data=$(curl -XGET "localhost:9200/logstash-*/_search?scroll=10m&size=500&pretty" -H 'Content-Type: application/json' -d"${params}")

经过许多变化和替代查询类型，但我无法成功附加过滤器 '{"authentication_type":"Client"}'

Answer 1

您需要将authentication_type和event_type定义为关键字，然后在搜索查询中对这些字段使用术语过滤器。

您可以在此官方 ES 链接中阅读带有多个术语的示例过滤器。

下面是一个分步示例，它使用您的数据来显示预期的搜索结果。

索引映射

{
  "mappings": {
    "properties": {
      "authentication_type": {
        "type": "keyword"
      },
      "event_type" :{
        "type" : "keyword"
      }
    }
  }
}

索引示例文档

{
   "authentication_type" : "Client",
   "event_type" : "authentication_succeeded"
}

{
   "authentication_type" : "Client",
   "event_type" : "authentication_failed"
}

{
   "authentication_type" : "Admin",
   "event_type" : "authentication_succeeded"
}

{
   "authentication_type" : "Admin",
   "event_type" : "authentication_failed"
}

搜索查询

{
    "query": {
        "bool": {
            "filter": [
                {
                    "term": {
                        "event_type": "authentication_succeeded"
                    }
                },
                {
                    "term": {
                        "authentication_type": "Client"
                    }
                }
            ]
        }
    }
}

搜索结果

"hits": [
         {
            "_index": "so_60750542",
            "_type": "_doc",
            "_id": "1",
            "_score": 0.0,
            "_source": {
               "authentication_type": "Client",
               "event_type": "authentication_succeeded"
            }
         }
      ]