Elasticsearch api объединить диапазон и теги

Question

У меня 2 рабочих запроса elk:

GET _search
{
  "query": {
    "range":{
      "timestamp":{
        "gt": "now-15m"
      }
    }
  }
}

и

GET _search
{
  "query": {
    "bool" : {
      "must" : {
        "match" : { "tags" : "mytag" }
      }
    }
  }
}

Как я могу объединить эти 2 запроса?По сути, я хочу получить все документы за последние 15 минут с тегом, равным «mytag»

Answer 1

Вам нужно объединить их обоих, используя must и filter.Когда первый даст вам tags, который вам нужен, и второй фильтр для данного временного диапазона.(Кстати, я продолжил с вашей схемой, но я помню, вы должны выглядеть timestamp с @timestamp)

GET _search
{
  "query": {
    "bool" : {
      "must" : {
        "match" : { "tags" : "mytag" }
      },
     "filter": 
        {
          "range": {
            "timestamp": {
               "gt": "now-15m"
            }
          }
        }
    }
  }
}