elasticsearch - 在 Kibana Discover 上查询 Lucene 未按预期工作?
问题描述
我正在尝试在我的 logstash 索引的“主机”属性上搜索服务器名称。
我在 Kibana 的 Discover 标签页上搜索。
当我在搜索栏中录制sl00pm时,我得到:
未找到结果
但是当我添加星号(*)并搜索sl00pm*时,我得到了这个:
主持人:sl00pm.soo85 .poly -vale.intra 日期:2019-03-20 15:23:10,591
我不明白为什么。
但是当我对另一个服务器名称slzq85执行相同的操作时,我得到了这个:
主持人:slzq85 .soo85.poly-vale.intra 日期:21/Mar/2019:09:24:56 +0100
这就是我所期待的。
这是我在 LogStash 上的索引的定义:
{
"logstash-2019.03.20": {
"aliases": {},
"mappings": {
"apache-access": {
"_all": {
"enabled": true,
"norms": false
},
"dynamic_templates": [
{
"message_field": {
"match": "message",
"match_mapping_type": "string",
"mapping": {
"index": "analyzed",
"omit_norms": true,
"type": "string"
}
}
},
{
"string_fields": {
"match": "*",
"match_mapping_type": "string",
"mapping": {
"fields": {
"raw": {
"ignore_above": 256,
"index": "not_analyzed",
"type": "string"
}
},
"index": "analyzed",
"omit_norms": true,
"type": "string"
}
}
}
],
"properties": {
"@timestamp": {
"type": "date"
},
"@version": {
"type": "keyword"
},
"date": {
"type": "text",
"norms": false,
"fields": {
"raw": {
"type": "keyword",
"ignore_above": 256
}
}
},
"host": {
"type": "text",
"norms": false,
"fields": {
"raw": {
"type": "keyword",
"ignore_above": 256
}
}
}
}
},
},
"settings": {
"index": {
"refresh_interval": "5s",
"number_of_shards": "5",
"provided_name": "logstash-2019.03.20",
"creation_date": "1553036402235",
"number_of_replicas": "1",
"uuid": "mCSFLYGETPm6qbgOwShHog",
"version": {
"created": "5060399"
}
}
}
}
}
和版本:
version": {
"number": "5.6.3",
"lucene_version": "6.6.1"
},
你能告诉我为什么我的结果不好?
我想补充一点,我正在使用映射类型,并且在我的索引的不同映射类型中具有相同的属性,但具有与上面相同的定义
问候
解决方案
这种行为的原因是分析器断词的地方。标准分析器根据UAX #29中规定的规则分词。尤其是规则 WB6 和 WB11,在此需要注意。
基本上,它不会在带有“。”的字母上中断。在中间(例如:“ab.cd”),或带有“。”的数字 在中间(例如:“12.34”),但它会中断由“。”分隔的数字和字母。(例如:“12.cd”)。
因此,在您的索引中,“sl00pm.soo85”被索引为单个标记,但“slzq85.soo85”被分成两个标记:“slz85”和“soo85”。
标准分析器旨在最适合文本。单词和句子。对于您正在查看的标识符,您可能会尝试不同的分析器,也许是PatternAnalyzer。
推荐阅读
- python - 单击按钮时未发送 Django Post 请求
- android - 广播接收器在模拟器中工作但不在设备中
- java - 获取 log4j2 中翻转文件的文件名
- java - JavaFX 在 EventHandler 中使用超类
- r - 如何获取具有正值的最后一行编号
- sql - 删除具有最早 GUID 的重复记录
- apache-spark - 在 Kafka 中看不到提交给 __consumer_offsets 主题的偏移量
- c - 在C中的两个集合位置(整数值)之间比较两个字符串的两个子字符串
- git - Git 拉取除一个以外的所有文件
- arrays - 查找未排序数组中是否存在元素 (x,y,z) 使得 x + y = z