子查询的弹性搜索和聚合

Question

我知道elasticsearch允许子聚合（即嵌套聚合），但是我想对“第一次”聚合的结果应用聚合（或者在通用的任何查询中-聚合与否）。

具体示例：我记录有关用户操作的事件（为简单起见，我有带有user_id和action的文档）。我可以进行查询，计算每个用户执行的操作数量。但是我想找出“活跃用户”的百分比（或计数）（例如，执行了10个以上操作的用户）。理想的结果是所有用户的直方图，显示用户的活跃程度。

有没有办法创建这样的查询？或者除了存储子查询的聚合结果并从中计算直方图之外，我还可以采取其他方法吗？

注意：我见过弹性搜索和“子查询”问题，但它是关于其他东西的，已经超过一年半了，弹性搜索正在积极开发中。

此外，在1.4版中似乎会有可用的脚本度量聚合，但无论如何，这需要为每个用户存储计数器，直到减少阶段。一些“近似解决方案”对我有好处——类似于ES在内部用于聚合的方法。

Answer 1

这是我使用的查询，请注意聚合中的“min_doc_count”。

{
  "query": {
    "filtered": {
      "filter": {
        "and": [
          { "term" : { "name": "did x" } },
          { "range": { "created_at": { "gte": "now-7d", "lte": "now" } } }
        ]
      }
    }
  },
  "aggregations": {
    "my_agg": {
      "terms": {
        "field": "user_id",
        "min_doc_count": 10,
        "size": 0
      }
    }
  }
}

此查询返回指定时间段内具有9个以上事件的存储桶（用户）列表。只需“计数”结果即可获得活动用户的数量。

我已经用数千个事件测试了这种方法，它运行良好。在一定规模上，您将不得不使用Hadoop。