彈性搜索：基於模式聚合文檔

Question

我的索引中有四個文件。 這些如下。

客戶端（:: ffff：10.0.0.6：27787）已連接

客戶端（:: ffff：10.0.0.6：27805）已連接

客戶端（:: ffff：10.0.0.6：27823）已連接

客戶端（:: ffff：10.0.0.6：27875）已連接

=================

我希望將這些匯總如下。

客戶端（:: ffff：10.0.0.6：_____）已連接

索引中有許多文檔具有不同的模式，不僅是上面的文檔模式，而且我希望通過匯總索引中的所有文檔來獲得所有模式。

如何使用ES？ 如果ES不直接支持這種聚合，那么有什么想法嗎？

問候，姜末

Answer 1

您需要將索引的數據分為特定的字段，以便可靠地匯總數據。

因此，您需要一個將字符串Client(::ffff:10.0.0.6:27787) Connected成::ffff:10.0.0.6並將其內容放入其自身字段的過程。

一種可行的方法是使用攝取節點。 攝取節點具有所謂的grok處理器 ，用於從文本中提取結構化數據。

這樣，您可以提取ip地址並將其索引到其自己的字段中（也可以使用ip數據類型，因此可以根據需要執行CIDR樣式范圍查詢）-然后可以輕松地對該數據進行匯總。

希望這可以幫助！

--Alex