GET /_count
{
 "query": {
   "bool": {
     "must": [
       {
         "range": {
           "@timestamp": {
             "gte": "2021-12-17T02:59:59.380Z",
             "lte": "2021-12-17T09:00:00.380Z",
             "boost": 2
           }
         }
       },
       {
       "match": {
         "message": ""
       }
       }
     ]
   }
 }
}
Подскажите пжл. Хочу вывести количество документов, где поле message пустое. В ответ получаю ноль. В чем может быть проблема?

query bool must_not exists field message

GET /_count
{
 "query": {
   "bool": {
     "must_not": [
       {
         "range": {
           "@timestamp": {
             "gte": "2021-12-17T02:59:59.380Z",
             "lte": "2021-12-17T09:00:00.380Z",
             "boost": 2
           }
         }
       },
       {
       "exists": {
         "field": "message"
       }
       }
     ]
   }
 }
}
Типа так?

нет

тайм рендж надо было оставить в must/filter

Никак. Это устаревшая функциональность, её больше нет.

Джойн есть только уровня родитель/потомок, типа иерархии однотипных документов.

Боже) Что за доку я читаю. Уже второй день читаю доку, а в конце оказывается, что функционал выпилили

подскажите, пожалуйста
если я изменю тип с обьекта на нестед, и создам по этому мапингу новый индекс
и потом сделаю реиндекс со старого в новый
тогда я смогу совершать поиск по этому полю?

Всем привет. Могу ли я как то в кибане построить чарт по значениям из поля message

message: request x. time y

Выше пример поля message

Заранее спасибо

вышло?)

сделал чуть по другому

GET /_count
{
 "query": {
   "bool": {
     "must": [
       {
         "range": {
           "@timestamp": {
             "gte": "2021-12-17T02:59:59.380Z",
             "lte": "2021-12-17T09:00:00.380Z",
             "boost": 2
           }
         }
       },
       {
       "wildcard": {
         "message": "?*"
       }
       }
     ]
   }
 }
}

если у тебя там лежит null то оно отработает?

или у тебя налов нет в этом поле?

отсекаю пустые message

сделал индекс
подтянул сеттинги которые в прошло
сделал маппинг как в прошлом и некоторыми измененями (поменял с "dynamic" false => true)
делаю реиндекс и получаю ошибку:
 "reason" : "can't merge a non object mapping [data.property_changes.value.original] with an object mapping"