elasticsearch - 使用 Elasticsearch 进行聚合

Question

我有如下搜索查询，可以从我的 flex 数据库中获取最新的5000个文档，如下所示

{
“大小”:5000，
“来自”:0，
“查询”:{
“范围” : {
“hostTimestamp”:{
“gte”:1499674634382，
“lte”:1499680034000
}
}
}，
“排序”:[
{
“hostTimestamp”:{
“order”:“desc”
}
}
]
}

现在，在由于此查询而获取的文档中，我不希望将eventSeverity作为Alert或Critical的文档计数在内。如何做到这一点？

Answer 1

您可以在terms字段上使用 eventSeverity aggregation来实现:

{ 
  "size": 5000, 
  "from": 0, 
  "query": {
        "range" : {
            "hostTimestamp" : {
                "gte" : 1499674634382,
                "lte" : 1499680034000
            }
        }
  },
  "sort": [
    {
      "hostTimestamp": {
        "order": "desc"
      }
    }
  ],
  "aggs": {                  <--- add this part
    "severities": {
      "terms": {
        "field": "eventSeverity"
      }
    }
  }
}