Kibana: 도구 모음에서 하위 쿼리 통합

이것을 사용하는 방법에 대한 몇 가지 예를 제공할 수 있습니까? Kibana 필터 막대는 전체 Elasticsearch 쿼리 DSL을 지원하므로 ES가 지원하는 모든 쿼리를 작성할 수 있습니다.

@Bargs Splunk 쿼리 언어는 단순한 쿼리 언어 그 이상입니다. 검색 처리 언어입니다. 이 SPL은 필터링, 집계, 변환과 같은 데이터 파이프라인을 설명할 수 있는 가능성을 제공합니다.

다음은 Lucene 언어에서 확실히 누락되었습니다.

1. 반환할 필드를 선택할 수 없습니다
2. 쿼리 결과에 집계를 적용할 수 없습니다.
3. 새 필드를 추출할 수 없습니다
4. 인덱스를 선택할 수 없습니다

이 모든 것은 여러 Kibana UI 컨트롤을 사용하면 확실히 얻을 수 있지만(!) 쿼리 언어를 알고 있으면 Splunk가 더 나은 UX를 제공합니다.

다음은 시나리오 예입니다.
모든 HTTP 로그를 검색하여 200 대 500 응답의 양을 시각화하고 싶습니다.

Splunk에서

1. 검색 상자에 다음 쿼리를 입력해야 합니다.

index=haproxy (status=500 OR status=200) | timechart count by status

이 쿼리에서 | timechart count by status 는 쿼리 index=haproxy (status=500 OR status=200) 에서 얻은 결과에 적용하는 집계 2개(!)와 같습니다.

1. "시각화" 탭으로 전환합니다(기본적으로 두 개의 선이 있는 꺾은선형 차트가 표시됨).

Kibana에서 (버전 6.2.1)

1. 검색에서 드롭다운에서 올바른 인덱스 "haproxy"를 선택해야 합니다.
2. 그런 다음 쿼리를 입력합니다.

status:200 OR status:500

1. 일부 이름으로 검색 저장 (여러 번 클릭)
   
   
   
   1. "저장"을 클릭하십시오
   
   
   2. 이름을 입력하세요. 내가 좋아하는 "테스트 테스트"를 사용하자
   
   
   3. "저장"을 클릭하십시오
   
   
2. 시각화로 이동하여 필드 상태 (거대한 클릭 수) 를 기준으로 집계하여 시각화를 만듭니다.
   
   
   
   1. 새 시각화를 클릭합니다.
   
   
   2. 차트 유형 "선" 선택
   
   
   3. 저장된 검색 "테스트 테스트" 선택
   
   
   4. 버킷에서 "X축"을 선택합니다. 이 단계에서는 아직 아무것도 표시되지 않습니다. 어리석은 시각화를 만들기 위해 많은 노력을 기울였지만 아직 결과가 없기 때문에 매우 실망스럽습니다.
   
   
   5. 집계 "데이터 히스토그램" 선택
   
   
   6. 결과를 보려면 "재생"을 클릭하지 마십시오. 추가 집계가 누락되어 한 줄만 표시됩니다.
   
   
   7. 하위 집계 추가
   
   
   8. 분할 시리즈 선택
   
   
   9. "용어"별로 "하위 집계"를 선택하십시오.
   
   
   10. "상태" 필드 선택
   
   
   11. 이제 두 줄로 된 최종 시각화를 보려면 "재생"을 클릭해야 합니다.
   
   

보시다시피 Kibana로 임시 분석을 수행하는 것은 매우 불편합니다. Splunk에서 대시보드를 만드는 것조차 Kibana보다 훨씬 쉽습니다.

@torinaki에 대한 자세한 정보 감사합니다. 우리는 실제로 당신이 설명한 것과 같은 기능을 구축할 수 있는 새로운 쿼리 언어 작업을 시작했습니다. 여기에 우리가 추가하고 싶은 기능의 위시리스트를 유지해온 브레인스토밍 티켓 이 있습니다. 귀하의 의견을 링크해 두었으므로 문맥을 잃지는 않았지만 추가하고 싶은 사항이 있으면 해당 티켓에 대해 직접 의견을 남겨 주시기 바랍니다. 이 문제는 새 쿼리 언어에 대한 최신 티켓으로 대체되었으므로 종료하겠습니다.