elastalert (support_es5) + elasticsearch 5 = 简单的日志报警喽

• 搞了两天，终于可以报警了

elastalert配置

config.yaml

rules_folder: example_rulesrun_every:  #minutes: 1  seconds: 3buffer_time:  minutes: 15es_host: 192.168.0.231es_port: 9200writeback_index: elastalert_statusalert_time_limit:  days: 2

rule.yaml

es_host: 192.168.0.231es_port: 9200name: For A TESTuse_strftine_index: truetype: frequencyindex: filebeat-*num_events: 1timeframe:  hours: 1#filter:#    - query:#        query_string:#            query: "@message: *nioEventLoopGroup*"filter:- query_string:     query: "message: 测试一下下"alert:    - "email"email:    - "xxx"smtp_host: smtp.vip.126.comfrom_addr: [e-mail]_reply_to: [e-mail]_auth_file: /opt/machtalk/elk/aaa/example_rules/auth

• auth

user: password: 

运行命令

python -m elastalert.elastalert --verbose --rule example_rules/rule.yaml

总结：

这样就可以报警了，但是有两点需要注意：
1. query的语句是我从issue里面找到的，这样才好使，官网上面的关于query的不好使。

# elastalert (support_es5分支) + elasticsearch 5.1filter:    - query_string:         query: "message: 测试一下下"https://github.com/Yelp/elastalert/issues/856

1. 报警采用邮箱的配置，从官网找了些资料，拼拼凑凑也就可以了
2. 还是要说一下第一个里面的message，“测试一下下”没有加引号，稍后相关的，比如分词 带有 测试的也都发出来了。