elasticsearch中的消息聚合

Question

例如，我有下一個文檔。

{sourceIP:1.1.1.1, destIP:2.2.2.2} 
{sourceIP:1.1.1.1, destIP:3.3.3.3} 
{sourceIP:1.1.1.1, destIP:4.4.4.4} 

有沒有辦法自動將它們聚合成一個文件，其中將包含下一個數據？

{sourceIP:1.1.1.1, destIP:{2.2.2.2,3.3.3.3,4.4.4.4}} 

因此它看起來像SQL中的group by，但在elasticsearch中生成新文檔而不是舊文件。

Answer 1

我不認爲有反正做索引時間自動合併的文件。

但是，它應該是可能的acheive什麼導致你打算查詢應該可以通過使用由Elasticsearch提供的查詢選項之一 - 建立索引時一個文檔中，

如..

• 你可以單獨的索引文件，通過SOURCEIP和使用聚合查詢給DEST_IP

• 的文檔需要花數如果只是爲了找到dest_ips的SOURCE_IP

此外，如果你想避免重複SOURCE_ID + DEST_ID組合，可以Concat的，並用它作爲文檔_id

希望這有助於。