范圍查詢不支持Elasticsearch字段

Question

我正在使用curl查詢來嘗試從我的elasticsearch實例獲取數據。 我所有的索引和類型都有一個@timestamp字段調用，它使用“ strict_date_optional_time”格式。 但是每次我嘗試在該字段上使用范圍過濾器時，查詢都會失敗。

我執行的查詢：

curl 'localhost:X/logstash-*/traces_console/_search' -d '{
"query" : {
    "bool": {
        "must": [
            { "match_all": {} }
        ],
        "filter": [
            { "range":
                { "@timestamp": 
                    "gte": "2018-02-20T13:55:06.387Z",
                    "lte": "2018-02-23T13:55:06.387Z"
                }
            }
        ]
    }}
}'

錯誤消息：

"reason":{
    "type":"query_parsing_exception",
    "reason":"[range] query does not support [@timestamp]",
    "index":"logstash-2018.02.06","line":10,"col":21
}

我不明白為什么這個錯誤不斷彈出。 當我查看有關此問題的大多數出版物時，所有使用日期格式的人都有有效的查詢。 如果您有任何關於為什么它不起作用的提示或線索，我將不勝感激。

這里有一些有用的信息：

環境

• 操作系統： Red Hat Enterprise Linux Server 6.5版（聖地亞哥）
• Java： 1.7
• Elasticsearch： 2.4
• Logstash： 2.4

從logstash生成的映射

"traces_console":{
    "properties":{
        "@timestamp":{
            "type":"date",
            "format":"strict_date_optional_time||epoch_millis"
        },
        "@version":{"type":"string"},
        "Method":{"type":"string"},
        "RequestSize":{"type":"string"},
        "ResponseSize":{"type":"string"},
        "ResponseTime":{"type":"string"},
        "SubSystem":{"type":"string"},
        "column1":{"type":"string"},
        "column2":{"type":"string"},
        "column3":{"type":"string"},
        "column4":{"type":"string"},
        "column5":{"type":"string"},
        "host":{"type":"string"},
        "path":{"type":"string"},
        "type":{"type":"string"}
    }
}

Logstash配置文件饋入Elasticsearch

input {
  file {
    path => "LOG_PATH/TRACES_CONSOLE.log"
    start_position => "beginning"
    type => "traces_console"
  }
}

filter {
  csv {
    separator => ";"
    columns => ["Method","RequestSize","ResponseSize","ResponseTime","SubSystem"]
    source => message
    convert => {
      "RequestSize" => "date"
      "ResponseSize" => "date"
    }
    remove_field => ["message"]
  }
}

output {
  elasticsearch {
    hosts => ["localhost:X"]
  }
}

Answer 1

您的范圍查詢語法不正確，您需要使用大括號：

{ "range":
     { "@timestamp": {
           "gte": "2018-02-20T13:55:06.387Z",
           "lte": "2018-02-23T13:55:06.387Z"
       }
     }
 }