Как правильно хранить данные вasticsearch?

Question

Мой пример такой:

Я хочу хранить Alerts. Например, у меня есть Alert Type1, Alert Type2 и т. Д.

Каждый тип оповещения может иметь разные поля, например:

• Alert Type1: {клиент, инцидент_время, файл ..}
• Alert Type2: {покупатель, случайное время, пользователь ..}

Вариант 1: Храните все предупреждения под одним Index, а каждое предупреждение - с другим типом

Вариант 2: Сохраняйте Index на предупреждение, чтобы каждый индекс был маленьким

Каковы плюсы и минусы каждого подхода?

Поиски, которые я буду выполнять, в основном выполняются в полях customer и incident_time, но многие запросы будут выполняться для определенного Alert Type

.

Answer 1

Это зависит от количества предупреждений / в день, которые вы ожидаете, но я думаю, что лучший вариант - это число 3: D

Вариант 3. Храните все оповещения под одним Index с одинаковым типом. И использовать фильтры во время запроса.

Использование разных типов в одном индексе устарело с версии 5, не может быть сделано в версии 6 и будет окончательно удалено в версии 7.

Индексы, созданные в Elasticsearch 6.0.0 или более поздней версии, могут содержать только один тип отображения. Индексы, созданные в 5.x с несколькими типами отображения, будут продолжать функционировать, как и раньше в Elasticsearch 6.x. Типы сопоставления будут полностью удалены в Elasticsearch 7.0.0.

См. здесь для получения дополнительной информации

Не используйте индекс нескольких типов, если вы не хотите иметь основной рефакторинг при обновлении до новых версий Elasticsearch.