x-pack watch告警配置

最新推荐文章于 2024-09-04 12:14:17 发布

40kuai

最新推荐文章于 2024-09-04 12:14:17 发布

阅读量1.2k

点赞数

CC 4.0 BY-SA版权

分类专栏： elsticsearch 文章标签： watch x-apck elasticsearch

本文链接：https://blog.youkuaiyun.com/u012881331/article/details/88899420

elsticsearch 专栏收录该内容

8 篇文章

订阅专栏

本文介绍了一种使用Elasticsearch Watcher进行错误日志监控的方法。通过配置定时任务，查询特定索引中包含“ERROR”关键字的日志，并在达到一定阈值时发送邮件通知。主要涉及Watcher的触发器、输入条件、条件判断及执行动作等关键配置。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

watch告警参考

{
  "trigger": {
    "schedule": {
	# 检查频率
      "interval": "60s"
    }
  },
  "input": {
    "search": {
      "request": {
        "search_type": "query_then_fetch",
        "indices": [
		# 检查的索引，{now/d}为当天的日志格式：例如：2019.01.29
          "<prod-planet-match-bj-{now/d}>"
        ],
        "types": [],
        "body": {
          "query": {
            "bool": {
              "must": [
                {
                  "range": {
                    "@timestamp": {
						# 查询近一分钟内的数据，这个值一般和检查频率相同
                      "gte": "now-1m",
                      "lte": "now"
                    }
                  }
                },
                {
                  "query_string": {
                    "default_field": "message",
					# 查询条件
                    "query": "ERROR"
                  }
                }
              ],
				# 过滤条件
              "must_not": [
                {
                  "query_string": {
                    "default_field": "message",
                    "query": "has no valid user in shell"
                  }
                }
              ]
            }
          }
        }
      }
    }
  },
  "condition": {
    "compare": {
      "ctx.payload.hits.total": {
		# 报警数量阀值
        "gte": 1
      }
    }
  },
  "actions": {
	# 执行操作，这里为发送邮件。
    "send_email": {
      "email": {
        "profile": "standard",
        "attachments": {
          "data.txt": {
            "data": {
              "format": "json"
            }
          }
        },
        "to": [
			# 一般只需要修改收件人信息。其他不需要修改。
          "948793841@qq.com:
        ],
			# 这里引用 watch id
        "subject": "{{ ctx.watch_id }} 报警",
        "body": {
          "text": "报错日志条数: {{ctx.payload.hits.total}}\n 日志路径{{ ctx.payload.hits.hits.0._source.source }}\n 实例ID：{{ ctx.payload.hits.hits.0._source.meta.cloud.instance_id }}\n 报错日志：\n{{#ctx.payload.hits.hits}}{{_source.message}}\n{{/ctx.payload.hits.hits}}"
        }
      }
    }
  }
}