Kibana查询说明

Kibana查询说明

一天不进步，就是退步!

elasticsearch构建在Lucene之上，过滤器语法和Lucene相同

Kibana接口概述

Kibana接口分为四个主要部分：

• 发现

• 可视化

• 仪表板

• 设置

我们将按照列出的顺序浏览每个部分的基础知识，并演示如何使用每个接口。

Kibana探索

当您第一次连接到Kibana 4时，您将进入发现页面。 默认情况下，此页面将显示您的所有ELK的最近接收的日志。 在这里，你可以根据搜索查询通过筛选，找到特定的日志消息，则缩小搜索结果与时间过滤器一个特定的时间范围。

以下是Kibana Discover界面元素的细分：

• 搜索栏：直属主导航菜单。 使用此选项可搜索特定字段和/或整个邮件

• 时间过滤器：右上（时钟图标）。 使用此选项可以根据各种相对和绝对时间范围过滤日志

• 字段选择：左，搜索栏下。 选择字段要修改哪些是显示在日志查看

• 日期柱状图：搜索栏下的条形图。 默认情况下，这将显示所有日志的计数，相对于时间（x轴），由搜索和时间过滤器匹配。 您可以单击小节，或单击并拖动，以缩小时间过滤器

• 日志视图：右下角。 使用这个要看个人的日志信息，并显示记录田野过滤后的数据。 如果没有选择字段，则显示整个日志消息

此动画演示了Discover页面的几个主要功能：

这里是对正在执行的操作的逐步描述：

1. 选择了“类型”字段，它限制了每个日志记录显示的内容（右下） – 默认情况下，显示整个日志消息

2. 搜索type: "nginx-access" ，它只匹配Nginx的访问日志

3. 展开最新的Nginx访问日志以更详细地查看它

请注意，结果被限制为“最后15分钟”。 如果您没有获得任何结果，请确保在指定的时间段内生成了与您的搜索查询匹配的日志。

收集和过滤的日志消息取决于您的Logstash和Logstash转发器配置。 在我们的示例中，我们收集syslog和Nginx访问日志，并通过“类型”过滤它们。 如果您正在收集日志消息，但没有将数据过滤到不同的字段，对它们进行查询将更加困难，因为您将无法查询特定字段。

搜索语法

搜索提供了一种简单而强大的方法来选择特定的日志消息子集。 搜索语法非常不言自明，并允许布尔运算符，通配符和字段过滤。 例如，如果你想找到谷歌Chrome浏览器用户生成的Nginx的访问日志，您可以搜索type: "nginx-access" AND agent: "chrome" 。 您还可以按特定主机或客户端IP地址范围或日志中包含的任何其他数据进行搜索。

当您创建要保持一个搜索查询，你可以通过点击保存搜索图标，然后保存按钮，就像这个动画：

保存的搜索可以在任何时候通过点击加载保存搜索图标可以打开和创建可视化时，他们也可以使用。

我们将保存type: "nginx-access"搜索为“类nginx的访问”，并用它来创建可视化。

 

在kibana搜索的时候，可以简单的使用 Lucene通用的语法，或者使用基于JSON格式QueryDSL（DSL：领域特定语言）来构造搜索各种请求（更加灵活