# Поиск нераспарсенных логов

**URL:** <https://discuss.elastic.co/t/topic/273801>\
**Category:** Вопросы на русском языке\
**Created:** [May 24, 2021, 9:13am UTC](https://discuss.elastic.co/t/topic/273801 "2021-05-24T09:13:38Z")\
**Posts on this page:** 5\
**Page:** 1

<div class="post-metadata">

**Author:** ![vladimirzn](https://avatars.discourse-cdn.com/v4/letter/v/82dd89/32.png) [@vladimirzn](https://discuss.elastic.co/u/vladimirzn)\
**Post date:** [May 24, 2021, 9:13am UTC](https://discuss.elastic.co/t/topic/273801/1 "2021-05-24T09:13:38Z")

</div>

Добрый день!

Есть ли способ найти логи, которые не получилось распарсить в ELK (warning вида "could not index event to elasticsearch - failed to parse"), имея имя индекса и id объекта?  
Пробовал делать с помощью GET index/\_search { " query": {"terms": {"\_id": ["id"] ..., но таким образом можно получить лишь общую информацию, что объект существует.  
Когда фильтров много, порой сложно определить, где именно (в каком логе) искать ошибку

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [May 24, 2021, 3:36pm UTC](https://discuss.elastic.co/t/topic/273801/2 "2021-05-24T15:36:20Z")

</div>

> [@vladimirzn](#):
>
> could not index event to elasticsearch - failed to parse

Это значит, что этот документ не был индексирован в elasticsearch (скорее всего из-за несовместимого маппинга). Если что-то не было добавлено в индекс, то найти эту запись в индексе не возможно, так как ее там нет. Я бы начал с анализа логов logstash.

---

<div class="post-metadata">

**Author:** ![vladimirzn](https://avatars.discourse-cdn.com/v4/letter/v/82dd89/32.png) [@vladimirzn](https://discuss.elastic.co/u/vladimirzn)\
**Post date:** [May 25, 2021, 4:50am UTC](https://discuss.elastic.co/t/topic/273801/3 "2021-05-25T04:50:15Z")

</div>

К примеру, ошибка из лога logstash - "object field starting or ending with a [.] makes object resolution ambigiouts: [.name]"  
Таких полей в фильтрах нет, где же искать проблему непонятно. Вместо "[.name]" может быть "[.TypeName]" и т.д.

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [May 25, 2021, 5:25am UTC](https://discuss.elastic.co/t/topic/273801/4 "2021-05-25T05:25:54Z")

</div>

> [@vladimirzn](#):
>
> где же искать проблему непонятно

В этом случае можно [dead letter queue](https://www.elastic.co/guide/en/logstash/current/dead-letter-queues.html) настроить, все что не будет индексироваться, должно туда свалиться.

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [June 22, 2021, 5:26am UTC](https://discuss.elastic.co/t/topic/273801/5 "2021-06-22T05:26:02Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.