通過Kibana Discover，您可以快速搜索大量數(shù)據(jù)并了解業(yè)務(wù)在特定時間內(nèi)的數(shù)據(jù)情況。本文介紹如何使用Kibana的Discover功能。
背景信息
前提條件
- 已創(chuàng)建阿里云Elasticsearch實例，具體操作請參見創(chuàng)建阿里云Elasticsearch實例。本文以Elasticsearch 7.10版本為例。
- 已創(chuàng)建待處理的索引，本文以nginx日志為例，具體操作請參見使用Filebeat+Kafka+Logstash+Elasticsearch構(gòu)建日志分析系統(tǒng)。
- 已登錄到Kibana控制臺中，具體操作請參見登錄Kibana控制臺。
操作步驟
- 在Kibana控制臺主頁，單擊左上角的
圖標，展開左側(cè)導(dǎo)航欄。 - 創(chuàng)建索引模式。
- 在Index pattern name文本框中輸入索引模式名稱（本文使用nginx*），單擊Next step。
- 選擇Time field（本文選擇@timestamp），單擊Create index pattern。
重要 如果刪除.kibana*索引，會導(dǎo)致索引模式丟失。
- 在Index pattern name文本框中輸入索引模式名稱（本文使用nginx*），單擊Next step。
- 在左側(cè)導(dǎo)航欄，單擊Kibana下的Discover，并在下拉列表中選擇之前創(chuàng)建的nginx*索引模式。
- 在Discover頁面右側(cè)或者在直方圖中，選擇一個時間范圍，查看指定時間范圍內(nèi)的數(shù)據(jù)。
更多詳細信息，請參見更多功能中的《設(shè)置時間過濾器》章節(jié)。
更多功能
Discover頁面總覽
設(shè)置時間過濾器
通過設(shè)置時間過濾器，您可以更改數(shù)據(jù)查詢的時間范圍，默認情況下時間過濾器設(shè)置為最近15分鐘。您可以通過以下方式修改時間過濾器：
- 單擊
圖標，可以選擇以下選項：
- Quick select（快速選擇）：使用最近的時間范圍，然后使用后退和前進箭頭在時間范圍內(nèi)移動。
- Commonly used（通常用于）：使用諸如“最近15分鐘“、“今天”和“本周至今”等選項的時間范圍。
- Recently used date ranges（最近使用的日期范圍）：您最近使用的數(shù)據(jù)查詢范圍。
- Refresh every（刷新間隔）：指定自動刷新頻率。
- 單擊開始時間或結(jié)束時間，在彈出窗口中選擇Absolute、Relative或Now，然后指定需要查詢的時間范圍。
- 從直方圖中選擇時間查詢范圍。
- 單擊您需要放大的時間范圍的欄。
- 在直方圖區(qū)域，單擊并拖動來查看特定時間范圍的數(shù)據(jù)。
說明 您需要將光標放在圖表背景上開始選擇；當您將鼠標懸停在有效起點上時，光標會變?yōu)榧犹枴?
- 單擊下拉菜單，選擇一個間隔。
查詢數(shù)據(jù)
使用Kibana的查詢語言（KQL），在搜索欄中輸入要查詢的內(nèi)容時，會獲取字段、值和運算符的建議。具體使用方式，請參見Elasticsearch官方文檔 - Kibana Query syntax。
修改展示字段
Discover頁面展示了與搜索相匹配的所有文檔。默認展示的是時間字段以及文檔的列_source，您可以將其修改為需要查詢的字段。例如要查詢的字段為path，可單擊path字段右側(cè)的+號。
如果需要查看下圖中的error.log，可單擊/var/log/nginx/error.log右側(cè)的+號。
查看文檔內(nèi)容
在文檔表中展開文檔，可以將鼠標懸停在文檔上進行篩選和其他控制。如果需要查看該文檔發(fā)生前后的文檔，可以在右上角單擊View surrounding documents；如果需要訪問特定文檔，可以單擊View single document。
常見問題
- Q：為什么創(chuàng)建索引模式之后，在Discover頁面沒有展示直方圖？
A：需要確認索引中是否有時間類型字段的數(shù)據(jù)，例如查看索引mapping中是否有字段類型為timestamp。
- Q：為什么使用search功能查詢索引數(shù)據(jù)時，必須搜索完整的field message才能取回數(shù)據(jù)，而查詢不完整的field message時無法取回數(shù)據(jù)？
A：可以通過添加通配符
*補全field的方式進行查詢。原因可能是索引使用的分詞器不一致。