эластичный поисковый запрос для получения и соединения

Question

журналы доступа хранятся в ES, где у нас есть несколько API в параметре запроса.Пример. - 10000 *

1. /api/v1/login/{emailId}?city={city}&t={t1}
2. /api/v1/checkBalance/{emailId}?city={city}&t={t2}
3. /api/1/processedData/{emailId}?city={city}&t={t3}

Мне нужны идентификаторы электронной почты, которые находятся в 1 и 2, но не в 3.