ES可以作为日志系统，要比专门去找对应的日志存档效率要高，直接通过搜索KQL或者Lucene（这里指的是Lucene的语法，实际上直接搜索关键词就可以了）。
但是我们在Kinaba上看到的索引（你也可以理解每一份对应的日志）上没有你想要的，你该如何去建立索引去查找日志，具体操作过程如下：
这里假设你的数据都已经添加进去或者是自动收集的，你要做的就是创建一个索引对应起来，能在discover里面能看到就可以。
点击管理，去添加索引
索引模式，去创建索引模式
找到你要的源（红框框住的地方），创建索引起个名字，完成即可
这时候你新建的索引就能在Discover的下拉框能找到
786
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
