Kibana【从无到有从有到无】【搜索引擎】【K8】管理_kibana8 索引管理

目录

1.管理

1.1.索引模式

1.1.1.创建一个索引模式连接 Elasticsearch

1.1.2.设置默认的索引模式

1.1.3.重新加载索引字段列表

1.1.4.删除索引模式

1.2.字段管理

1.2.1.字符串格式化

1.2.2.日期字段格式化

1.2.3. 地理坐标字段格式化

1.2.3. 数字字段格式化

1.2.4. 脚本化字段

1.3.设置高级选项

1.4.管理保存的搜索、可视化组件和仪表板

---

1.管理

用来管理您的 kibana 运行时配置的地方，包括初始化配置和后续的索引模式配置、高级设置等。您可以调整 kibana 自身的行为，也可以编辑您通过 kibana 保存的查询、视图、仪表板等各种 "对象“ 。

这部分功能是通过插件实现的，所以除了开箱即用的功能外，诸如 X-Pack 之类的扩展也可以为 Kibana 增加额外的管理能力。

 

1.1.索引模式

要使用Kibana，您需要通过配置一个或多个索引模式来告诉它您想探索的 Elasticsearch 索引。您也可以：

• 通过对您数据的实时计算创建脚本化字段，您可以浏览和可视化脚本化字段，但是不能搜索它们。
• 设置高级选项，例如要在表格中显示的行数以及要显示多少个最受关注的字段。修改高级选项时需要格外注意，避免设置彼此不兼容的值。
• 为生产环境配置 Kibana。

 

 

1.1.1.创建一个索引模式连接 Elasticsearch

一个 索引模式 标识一个或者多个您想要通过 kiabna 探索的 Elasticsearch 索引。Kibana 会查找与指定模式匹配的索引名称。模式中的星号 (*) 匹配0个或者多个字符。例如，模式 myindex-* 匹配所有名称中以 myindex- 开头的索引，如 myindex-1 和 myindex-2 。

一个索引模式也可以简单地作为单个索引的名称。

要创建一个连接到 Elasticsearch 的索引模式：

1. 点击 设置 > 索引 标签页。
2. 指定与一个或多个 Elasticsearch 索引名称匹配的索引模式。默认情况下，Kibana 会认为您正在处理通过 Logstash 送到 Elasticsearch 的日志数据。
3. 如果您的索引中含有一个时间戳字段，并且您想将这个字段用于执行基于时间比较的操作，请选择 索引含有带时间戳的事件 选项，Kibana 会读取索引映射并列出包含时间戳的所有字段，从中选择您需要的字段即可。
4. 默认情况下，Kibana 会限制基于时间的索引模式的通配符扩展，范围为当前选定时间内的索引数据。点击 当搜索时不要展开索引模式 选项来禁用此行为。
5. 点击 创建 添加新的索引模式。
6. 要指定新模式作为查看探索标签页时加载的默认模式，请单击 收藏 按钮。

（2）当您在顶层标签页中切换时，Kibana 会记住您在每个标签页中的位置。
例如，如果您在设置标签页中查看了一个特定的索引模式，然后切换到探索标签页，接着再回到设置标签页，Kibana 会显示您刚才看过的那个索引模式。
想创建新的索引模式，点击索引模式列表上的 *添加* 按钮。
 
当您定义一个索引模式时，Elasticsearch 中必须存在匹配该模式的索引，并且这些索引必须包含数据。

要在索引名称中使用事件时间，需要使用下表中指定的日期格式语汇单元，并将其作为为静态文本放在模式名称中。

例如，[logstash-]YYYY.MM.DD 匹配所有前缀是 logstash- 并且后接 YYYY.MM.DD 这种时间戳格式的索引，如 logstash-2015.01.31 和 logstash-2015-02-01 。

 

表 2. 日期格式语汇单元

 

1.1.2.设置默认的索引模式

当您查看 探索 标签页时，默认索引模式将会自动加载。在 设置 > 索引 标签页的索引模式列表中，Kibana 会在默认模式名称的左侧显示一颗星。您创建的第一个模式将会被自动指定为默认模式。

设置其他模式作为默认索引模式：

1. 点击 设置 > 索引 标签页。
2. 在索引模式列表中选择您想要默认加载的模式。
3. 点击模式的 收藏 按钮。

也可以在 高级 > 设置 中手动设定默认索引模式。

 

1.1.3.重新加载索引字段列表

当您新增了一个索引映射，Kibana 会自动扫描匹配模式的索引，并显示索引字段的清单。您可以重新载入索引字段列表以便能选择新增的字段

重载索引字段列表会导致 Kibana 的字段流行度计数器重置。流行度计数器是用来跟踪您在 Kibana 中经常使用的字段，并被用于对列表中的字段进行排序。

要重新加载索引字段列表：

1. 点击 设置 > 索引 标签页。
2. 从索引模式列表中选择一个索引模式。
3. 点击该模式的 重载 按钮。

 

1.1.4.删除索引模式

要删除一个索引模式：

1. 点击 设置 > 索引 标签页。
2. 从索引模式列表中选择您想要删除的索引模式。
3. 点击该模式的 删除 按钮。
4. 确认您想要删除该模式。

 

1.2.字段管理

索引模式中的字段会以列表的方式显示，点击列标题可以按列对表格排序，点击最右边列的 控制 按钮可以编辑指定字段的属性。您可以从 格式 下拉菜单中手动设置字段的格式。具体格式选项依赖于字段类型。

您也可以在 流行度 文本框中设置您需要的该字段的流行度值。点击 更新字段 按钮确认更改，或者点击 取消 返回字段列表。

Kibana 有以下字段类型的格式化：

• 字符串
• 日期
• 地理位置
• 数字

 

1.2.1.字符串格式化

字符串字段支持 String 和 Url 的格式化。

字符串 字段格式化可以对字段内容做如下转换：

• 转换为小写
• 转换为大写
• 转化为标题 （单词的第一个字母大写）

• 应用短点转换，对于 . 字符之前的内容，它将用其第一个字符替换整个字符串。如下所示：

Url 字段格式化支持如下类型：

• 链接 类型可以将字段的内容转化为一个 URL 。
• 图片 类型可以用于指定一张特定图片所在的图片目录。

 

您可以用模板来自定义任意类型的 URL 字段格式。一个 URL 模板 可以让您添加特定的值作为 URL 的一部分。使用字符串 {{value}} 可以将其值添加到指定的 URL。

例如，当:

• 一个字段含有一个用户 ID
• 对该字段使用了 Url 字段格式化
• URI 模板为 http://company.net/profiles?user_id={­{value}­}

生成的 URL 会用来自该字段的用户 ID 替换 {{value}} 。

{{value}} 模板字符串会对字段内容做 URL 编码。当一个字段编码为 URL 出现非 ASCII 字符时，这些字符会被替换为由 % 字符加上相对应的十六进制代码。例如，字段值 users/admin 编码到 URL 模板中会变为 users%2Fadmin 。

当格式化的类型为 图片 时， {{value}} 模板字符串会被替换为对应 URI 图片的名称。

如果想要将未转义的值直接传递给URL，需要使用 {{rawValue}} 字符串。

标签模板 可以让您显示一段文本而不是直接显示 URL，您可以在标签模板中使用普通的模板字符串 {{value}} 。也可以使用 {{url}} 模板字符串来显示格式化的 URL。

 

1.2.2.日期字段格式化

日期字段支持 Date 、 Url 和 String 格式化。

Date 格式化能让您使用 moment.js 标准格式定义来选择日期的显示格式。

字符串 字段格式化可以对字段内容做如下转换：

• 转换为小写
• 转换为大写
• 转化为标题 （单词的第一个字母大写）

• 应用短点转换，对于 . 字符之前的内容，它将用其第一个字符替换整个字符串。如下所示：

Url 字段格式化支持如下类型：

• 链接 类型可以将字段的内容转化为一个 URL 。
• 图片 类型可以用于指定一张特定图片所在的图片目录。

您可以用模板来自定义任意类型的 URL 字段格式。一个 URL 模板 可以让您添加特定的值作为 URL 的一部分。使用字符串 {{value}} 可以将其值添加到指定的 URL。

例如，当:

• 一个字段含有一个用户 ID
• 对该字段使用了 Url 字段格式化
• URI 模板为 http://company.net/profiles?user_id={­{value}­}

生成的 URL 会用来自该字段的用户 ID 替换 {{value}} 。

{{value}} 模板字符串会对字段内容做 URL 编码。当一个字段编码为 URL 出现非 ASCII 字符时，这些字符会被替换为由 % 字符加上相对应的十六进制代码。例如，字段值 users/admin 编码到 URL 模板中会变为 users%2Fadmin 。

当格式化的类型为 图片 时， {{value}} 模板字符串会被替换为对应 URI 图片的名称。

如果想要将未转义的值直接传递给URL，需要使用 {{rawValue}} 字符串。

标签模板 可以让您显示一段文本而不是直接显示 URL，您可以在标签模板中使用普通的模板字符串 {{value}} 。也可以使用 {{url}} 模板字符串来显示格式化的 URL。

 

1.2.3. 地理坐标字段格式化

地理坐标字段支持 String 格式化。

字符串 字段格式化可以对字段内容做如下转换：

• 转换为小写
• 转换为大写
• 转化为标题 （单词的第一个字母大写）

• 应用短点转换，对于 . 字符之前的内容，它将用其第一个字符替换整个字符串。如下所示：

 

1.2.3. 数字字段格式化

数字字段支持 Url 、 Bytes 、 Duration 、 Number 、 Percentage 、 String 和 Color 格式化

Url 字段格式化支持如下类型：

• 链接 类型可以将字段的内容转化为一个 URL 。
• 图片 类型可以用于指定一张特定图片所在的图片目录。

您可以用模板来自定义任意类型的 URL 字段格式。一个 URL 模板 可以让您添加特定的值作为 URL 的一部分。使用字符串 {{value}} 可以将其值添加到指定的 URL。

例如，当:

• 一个字段含有一个用户 ID
• 对该字段使用了 Url 字段格式化
• URI 模板为 http://company.net/profiles?user_id={­{value}­}

生成的 URL 会用来自该字段的用户 ID 替换 {{value}} 。

{{value}} 模板字符串会对字段内容做 URL 编码。当一个字段编码为 URL 出现非 ASCII 字符时，这些字符会被替换为由 % 字符加上相对应的十六进制代码。例如，字段值 users/admin 编码到 URL 模板中会变为 users%2Fadmin 。

当格式化的类型为 图片 时， {{value}} 模板字符串会被替换为对应 URI 图片的名称。

如果想要将未转义的值直接传递给URL，需要使用 {{rawValue}} 字符串。

标签模板 可以让您显示一段文本而不是直接显示 URL，您可以在标签模板中使用普通的模板字符串 {{value}} 。也可以使用 {{url}} 模板字符串来显示格式化的 URL。

字符串 字段格式化可以对字段内容做如下转换：

• 转换为小写
• 转换为大写
• 转化为标题 （单词的第一个字母大写）

• 应用短点转换，对于 . 字符之前的内容，它将用其第一个字符替换整个字符串。如下所示：

 

持续时间 字段格式化可以以如下增量显示字段的数值：

• Picoseconds 皮秒
• Nanoseconds 纳秒
• Microseconds 微秒
• Milliseconds 毫秒
• Seconds 秒
• Minutes 分钟
• Hours 小时
• Days 天
• Weeks 星期
• Months 月
• Years 年

对于输入和输出，您都可以指定最多20位数字的增量。

颜色 字段格式化可以让您为数值型字段的某一段值区间指定特定颜色。

当您选择 颜色 字段格式化时，Kibana 会显示 区间 、 字体颜色 、 背景颜色 和 范例 字段。

点击 添加颜色 按钮将一段区间值与一个特定颜色关联。您可以点击 字体颜色 和 背景颜色 字段来显示颜色选择器，也可以在该字段中输入十六进制的颜色码。最后您可以在 范例 字段中看到所选颜色的效果。

Bytes 、 Number 和 Percentage 格式化可以让您使用 numeral.js 标准格式定义来选择此字段中数字的显示格式。

 

1.2.4. 脚本化字段

脚本化字段是依据 Elasticsearch 索引中的数据即时计算得到的。其作为文档数据的一部分显示在 发现标签页上，您可以将其可视化，但是因为脚本化字段的值是在查询时实时计算产生的，所以它们不能被索引和查询。

Kibana 不能查询脚本化字段

脚本化字段因为实时计算数据，所以有可能非常耗费资源，并对 Kibana 的性能产生直接的影响。
请记住，脚本化字段是没有内置校验的。如果脚本有问题，每当您试图去查看动态生成的数据时都会得到异常。

当您在 Kibana 中定义一个脚本化字段时，您可以选择使用的脚本语言。从 5.0 版本开始，默认的选项是 Lucene 表达式 和 Painless。如果您在 Elasticsearch 中启用了其它动态脚本语言，也可以在 Kibana 中使用，但是不建议这样做。因为它们不能确保沙箱安全。

从 Elasticsearch 5.0 开始，不推荐使用 Groovy、 Javascript 和 Python 脚本，未来的版本中将不再支持这些脚本语言

您可以在表达式中引用任何单值的数值字段，例如：

doc['field_name'].value

有关脚本化字段和其他范例的更多背景信息，请参阅此博客： Using Painless in Kibana scripted fields

 

创建一个脚本化字段

要创建脚本化字段:

1. 进入 设置 > 索引
2. 选择您要添加脚本化字段的索引模式。
3. 进入模式的 脚本化字段 标签页。
4. 点击 添加脚本化字段 。
5. 输入脚本化字段的名称。
6. 输入您想要通过索引数据即时计算值的表达式。
7. 点击 保存脚本化字段 。

有关 Elasticsearch 中脚本化字段的更多信息，请参考 Scripting。

 

更新一个脚本化字段

要修改一个脚本化字段：

1. 进入 设置 > 索引 。
2. 点击您想要修改的脚本化字段的 编辑 按钮。
3. 修改并点击 保存脚本化字段 以更新字段。

请注意，脚本化字段没有内置验证。如果您的脚本有问题，每次当您尝试查看动态生成的数据时，都会遇到异常

 

删除一个脚本化字段

要删除一个脚本化字段：

1. 进入 设置 > 索引 。
2. 点击要删除的脚本化字段的 删除 按钮。
3. 确认您确实要删除该字段。

 

1.3.设置高级选项

您可以通过直接编辑 高级设置 页面中的选项来控制 Kibana 应用程序的行为。例如，您可以更改日期的显示格式，指定默认的索引模式，或者设置数值的显示精度等。

要设置高级选项：

1. 进入 设置 > 高级 。
2. 点击您想要修改选项的 编辑 按钮。
3. 为该选项输入一个新的值。
4. 点击 保存 按钮。

修改以下的设置会显著的影响 Kibana 的性能，并且有可能导致难以诊断的问题。
如果想恢复默认设置，将属性值设置为空字段即可，这可能会造成与其他配置不兼容的情况。如果删除一个自定义的设置，则会将其从 Kibana 中永久删除。

表 3. Kibana 设置指引

 

1.4.管理保存的搜索、可视化组件和仪表板

您可以在 设置 > 对象 中查看、编辑和删除保存的搜索、可视化组件以及仪表板。您也可以导入或者导出搜索、可视化组件和仪表板的集合。

保存的对象会显示在 发现 、可视化组件 或者 仪表板 页面的待选列表中。要查看保存的对象：

1. 进入 设置 > 对象 。
2. 选择您想要查看的对象。
3. 点击 查看 按钮。

编辑一个保存的对象能够让您直接修改对象的定义。您可以改变对象的名称、添加说明并修改定义对象属性的 JSON 。

如果您试图访问一个对象，但是其关联的索引已经被删除，Kibana 将显示其“编辑对象”页面。您可以：

• 重新创建索引，以便您可以继续使用该对象。
• 删除该对象并使用不同的索引重新创建它。
• 修改该对象的 kibanaSavedObjectMeta.searchSourceJSON 属性，将其引用的索引名称更改为指向一个现存的索引模式。如果您正在使用的索引被重命名，这种方法就非常适用。

对象属性的修改是没有校验的，提交无效更改将会导致对象不可用。
通常您应该使用 发现 、 可视化组件 或者 仪表板 页面来创建新的对象，而不是直接编辑现有的对象。

要编辑一个保存的对象：

1. 进入 设置 > 对象 。
2. 选择您想要编辑的对象。
3. 点击 编辑 按钮。
4. 修改对象的定义。
5. 点击 保存对象 按钮。

要删除一个保存的对象：

1. 进入 设置 > 对象 。
2. 选择您想要删除的对象。
3. 点击 删除 按钮。
4. 确认您要删除该对象。

要导出对象的集合：

1. 进入 设置 > 对象 。
2. 选择要导出的对象的类型。您可以导出一组仪表板、搜索或可视化组件。
3. 选择您想要导出的对象的选择框，或者点击 选择全部 。
4. 点击 导出 然后选择要导出 JSON 数据的存储位置。

导出的仪表板并不包含其关联的索引模式。
要将保存的仪表板导入运行在另一个 Elasticsearch 集群上的 Kibana 实例，需要提前手动重新创建索引模式。

要导入对象的集合：

1. 进入 设置 > 对象 。
2. 点击 导入 ，然后导航到存有要导入对象集合的 JSON 文件所在位置。
3. 选择 JSON 文件后点击 打开 。
4. 如果集合中的对象有可能会覆盖 kibana 中已经存在的对象，需要确认是否覆盖。