Elasticsearch 多字段聚合

Question

这是我的 ES 索引中的文档示例：

{
  "src_ip": "192.168.1.1",
  "dst_ip": "192.168.1.2"
}

我想获得 ip 在不同文档中的出现次数（在字段 src_ip 或 dst_ip 中）。 作为查询的结果，我想得到的是这样的聚合：

[
  {"ip": "192.168.1.1", "count": 1"},
  {"ip": "192.168.1.2", "count": 1"}
]

对此有什么想法吗？ 在此先感谢您的帮助。

Answer 1

您需要使用term aggregation ，在那里您将获得组计数。

POST index_name/_search?size=0
{
  "aggs": {
    "src_ip_count": {
      "terms": {
        "field": "src_ip"
      }
    },
    "dst_ip_count": {
      "terms": {
        "field": "dst_ip"
      }
    }
  }
}

这里我假设src_ip和dst_ip的类型是keyword 。 如果不是，您需要将所有值存储为关键字类型。