Следует ли переиндексировать Elasti c Search, если я внесу какие-либо изменения в конфигурацию Logstash

Question

Если я внесу какие-либо изменения в конфигурацию Logsta sh. Увижу ли я изменения, примененные к Elasti c Search For Example Если я изменю шаблон Grok и добавлю новые поля, смогу ли я увидеть изменения, произведенные в уже проиндексированных журналах в поиске elasti c.

Если нет, что мне делать? Должен ли я повторно индексировать все старые журналы, которые уже проиндексированы, чтобы увидеть новые поля ??

Answer 1

Любые изменения, внесенные вами в конвейер Logsta sh, будут применяться только к загруженным журналам после изменения, журналы, уже находящиеся в elasticsearch, не изменяются.

Если вы хотите добавить новые полей в документы, уже находящиеся в elasticsearch, вам нужно будет переиндексировать их через logsta sh.

Answer 2

Если вы добавите какое-либо новое поле, оно будет отражено в типе сопоставления, и новое поле будет сохранено в этом индексе. Каждый раз, когда документ содержит новые поля, они попадают в сопоставления индекса. Это не беспокоит небольшой объем данных, но может стать проблемой по мере роста сопоставления. Но вы должны быть очень осторожны, если в индексе слишком много полей, это может привести к взрыву сопоставления, который может вызвать много ошибок памяти.