基礎的な質問で恐縮ですが、WatcherのIndex Actionを利用すると、デフォルトでは、集計結果が、一つのドキュメントにまとめられて出力されます。
これを、Watcherで引っかかったドキュメントが、そのまま別々の状態で出力されるように設定をしたいです。
たとえば、
①下記のような３つのデータを用意
*doc1
pc_name : A
feature : B
*doc2
pc_name : A
feature : C
*doc3
pc_name : B
feature : B
②Watcherで、FeatureにBが含まれるときに、Indexを作成するように設定
③doc1とdoc3が、一つのインデックスに、別々のドキュメントして出力
という流れをつくりたいです
初歩的なミスなのかもしれませんが、、下記の通り、Transform句を使用して作成してみたのですが、「no requests added」というエラーが出てしまいました。
{
"trigger": {
"schedule": {
"interval": "2m"
}
},
"input": {
"search": {
"request": {
"search_type": "query_then_fetch",
"indices": [
"license_used"
],
"types": [],
"body": {
"size": 0,
"aggs": {
"pc_name": {
"terms": {
"field": "pc_name"
}
},
"start_date": {
"terms": {
"field": "start_date"
}
}
},
"query": {
"bool": {
"must": [
{
"range": {
"start_date": {
"gte": "now-1M"
}
}
},
{
"terms": {
"feature": [
"*****",
"*****"
]
}
}
]
}
}
}
}
}
},
"condition": {
"compare": {
"ctx.payload.hits.total": {
"gte": 10
}
}
},
"actions": {
"index_payload": {
"transform": {
"script": {
"source": "return['_doc':ctx.payload.hits.hits]",
"lang": "painless"
}
},
"index": {
"index": "t.watch_highuse0517",
"doc_type": "doc"
}
}
}
}