在ElasticSearch中查询日期时间条目的最佳设置？

Question

我正在构建一个定期查询系统资源使用情况并将数据记录到ElasticSearch中的应用程序。我希望最终以给定时间段的图形形式显示此信息。请注意，通常用户希望查看一个设定时间段的统计信息-

• 当前日期
• 当月
• 当前年份

正因为如此，我一直在想最有效的方法将数据存储到ElasticSearch中，以优化搜索速度。很明显，每个条目都有一个单独的DateTime字段（最小为毫秒），但是如果我可以只对特定索引执行查询，搜索将会快得多。

我的计划是将索引设置为当日（即2014_04_09)。据此，您可以将多个索引链接到单个别名。在这种情况下，我将在上面为2014_04和2014设置一个别名。这背后的想法是，我可以对2014_04索引执行搜索，这将自动搜索4月份的所有单独索引日。这样做是否奏效？如果奏效，它是否最佳？

还有谁在ElasticSearch中有过类似的日期时间查询经历吗？谢谢！

Answer 1

我会阅读这篇文章的全部内容来给你更多的了解，它确实涉及到Elasticsearch和时间戳数据。希望这有帮助。

Answer 2

正如您在注释中了解的那样，将这些信息合并到一个索引中会更有意义，因为它是相同的信息，并且会使以后的查询更加简单。

通过每天、每月和每年创建索引，您将不得不对文档进行三重索引，或者使用复杂的逻辑来控制别名，在我看来，创建大量索引（每天一个）是不值得的。如果您是为了日志记录而这样做，那么logstash显然会是一个更好的答案，正如Nate所指出的那样。在这种情况下，可能值得注意的是，当索引没有提供任何值时，您可以关闭索引（“关闭”），因此除了占用磁盘空间之外，它们不会产生任何负面影响。

撇开日志记录的话题，创建n索引将固有地导致多个碎片（至少n)。添加太多的碎片会不必要地使事情变慢，而一个碎片就足够了。使用别名来完成这项工作将在添加额外索引时创建频繁的维护。

通过将这些组合到一个索引中，您可以轻松地按需执行高性能分析，并且可以在适当的时候更容易地跨多个节点扩展Elasticsearch。有用的是，您几乎可以肯定地发现更复杂的聚合，并且您可能会从更简单的索引中获益。

即使缓存了，您也会收到应用于筛选器的更新。通过生成一个简单的筛选器，运行它，然后在其预期的结果集中添加其他内容，可以很容易地证明这一点。