Elasticsearch 功能

集群指一个或多个节点（服务器）的集合，它们共同存储您的全部数据并在所有节点上都提供联合索引和搜索功能。Elasticsearch 集群的一大特征是具有主分片和副本分片，可在节点发生故障时自动实现故障切换。当主分片遇到故障时，副本分片会取而代之。

当节点离开集群时（无论出于何种原因，有意为之还是其他情况），主节点会进行应对，具体做法是使用副本来替代节点并对分片进行再平衡。这些操作的目的是通过确保尽快完全复制每个分片，保护集群不会损失数据。

您的 Elasticsearch 集群中的主节点会自动决定将哪个分片分配给哪个节点，以及何时需要在节点间移动分片以重新平衡集群。

随着使用量的增加，Elasticsearch 可以进行扩展。添加更多数据和更多用例，当您开始遇到资源不足问题时，只需向集群中再添加一个节点以提高容量和可靠性即可。而且当您向集群中添加更多节点时，集群会自动分配副本分片，所以您可以从容应对未来变化。

您可以将定制节点属性作为意识属性，从而让 Elasticsearch 在分配分片时将实体空间配置考虑在内。如果 Elasticsearch 知道哪些节点在同一个实体服务器上、同一个机架上，或者位于同一个区内，Elasticsearch 就能相应地分配主分片和副本分片，从而将万一发生故障时丢失所有分片副本的风险降至最低。

通过跨集群复制 (CCR) 功能，用户能够将远程集群中的索引复制到本地集群中。这一功能可用于常见的生产用例中。

长期以来，对于 Elasticsearch 上的任务关键型应用程序而言，跨数据中心复制一直都是一项硬性要求，之前通过利用其他技术这一问题在部分程度上得到了解决。现在，通过 Elasticsearch 内的跨集群复制功能，再也无需依赖其他技术来跨数据中心、跨地区或者跨 Elasticsearch 集群来复制数据了。

现在，使用云对象存储的 Elasticsearch 集群，可以从 ES 节点和对象存储传输某些数据，例如分片复制和分片恢复，而不是在 ES 节点之间传输数据，从而降低数据传输和存储成本。

通过索引生命周期管理 (ILM)，用户能够定义并自动执行政策，进而控制某个索引在四个阶段中分别应该停留多长时间，还可以定义并自动执行在各个阶段针对索引所采取的行动集合。由于可以将数据置于不同的资源等级，所以这样能够更好地帮助节省运行成本。

数据层是通过节点角色属性将数据划分为热、温和冷节点的形式化方法，该属性自动定义节点的索引生命周期管理策略。通过分配热节点、温节点和冷节点角色，可以大大简化将数据从成本较高、性能较高的存储移到成本较低、性能较低的存储的过程，并促进整个过程的自动化，所有这些都不会影响您获得洞见的能力。

作为后端的快照管理工具，快照生命周期管理 (SLM) API 能够允许管理员定义对 Elasticsearch 集群进行快照的频率。通过专属 UI，SLM 能够让用户为 SLM 政策配置保留期，自动创建/删除快照，并自动预先安排好快照事宜——这能够确保以合理频率对特定集群进行快照，从而按照客户的 SLA 进行恢复。

快照指基于正在运行的 Elasticsearch 集群制作的备份。您可以对单个索引或整个集群进行快照，然后将快照存储在共享文件系统上的存储库中。我们同时还提供插件来为远程存储库提供支持。

可搜索快照使您能够直接查询快照，相比一次典型的从快照完成还原所需的时间，用时极短，因为仅需读取每个快照索引的必要部分即可完成请求。可搜索快照与冷层一起使用，可以在基于对象的存储系统（如 Amazon S3、Azure Storage 或 Google Cloud Storage）中备份副本分片，同时仍提供对它们的完全搜索访问权限，从而显著降低数据存储成本。

保存历史数据以进行分析是一项十分有用的实践，但人们经常会由于存档大量数据带来的巨大财务成本而不这么做。因此，保留期限的长短由财务现实决定，而不会取决于大量历史数据的帮助作用。汇总功能为人们提供了一种汇总和存储历史数据的方法，这样人们仍可用其来进行分析，但是成本与存储原始数据相比却要小得多。

数据流能够让您以便捷、可扩展的方式来采集、搜索和管理持续生成的时序数据。

Transforms 是两维的表格式数据结构，可以让索引后的数据更加易于分解。Transforms 能够执行聚合，对您的数据进行透视，形成以实体为中心的新索引。通过对数据进行转化和汇总，您便有可能通过其他方法（包括将其作为其他 Machine Learning 分析的数据源）对这些数据进行可视化和分析。

通过升级助手 API，您能够检查 Elasticsearch 集群的升级状态，并对在之前重大版本中创建的索引进行重新索引。这一助手能够帮助您为下一次 Elasticsearch 重大版本升级做好准备。

API 秘钥的管理过程必须足够灵活，以便允许用户管理他们自己的秘钥，限制他们各自角色的访问权限。通过专属 UI，用户能够创建 API 秘钥并用其来提供长期凭据，同时与 Elasticsearch 进行交互；对自动化脚本和与其他软件间的工作流集成而言，这一交互过程十分常见。

某些设置很敏感，所以仅仅依靠文件系统权限来保护它们的值是不够的。对于这一用例，Elasticsearch 会提供密钥库来防止在未经授权的情况下访问敏感的集群设置。用户还可以选择对密钥库进行密码保护，从而进一步增强安全性。

通过流量加密，以及使用 SSL/TLS、节点身份验证证书等等，可以有效阻止针对 Elasticsearch 节点数据的网络攻击。

虽然 Elastic Stack 不能直接实施数据静态加密，但我们建议在所有主机上都配置磁盘级别加密。此外，快照目标也必须确保对数据进行静态加密。

借助基于角色的访问控制 (RBAC)，您能够通过为角色分配权限以及为用户或群组分配角色来为用户授权。

Elastic Stack 的 Security 功能同时还提供基于属性的访问控制 (ABAC) 机制，通过该机制，您能够使用属性来限制搜索查询和聚合中文档的访问权限。这一功能可让您在角色定义中实施访问政策，这样用户只有在拥有全部必备属性时，才能读取特定文档。

字段级安全性能够限制用户有权访问的字段。具体而言，其能限制从基于文档的只读 API 中可以访问哪些字段。

您可以启用审计来跟踪安全相关事件（例如身份验证失败以及遭拒的连接请求）。对这些事件进行日志记录能够让您监测自己集群中的可疑活动，并在遭受攻击时提供证据。

您可以针对应用程序客户端、节点客户端或者传输客户端（而不仅局限于尝试加入集群的其他节点）应用 IP 筛选。如果某节点的 IP 地址在黑名单中，Elasticsearch 安全功能虽允许其连接至 Elasticsearch，但会立即断开连接且不会处理任何请求。

xpack.security.transport.filter.allow: "192.168.0.1"
xpack.security.transport.filter.deny: "192.168.0.0/24"

xpack.security.transport.filter.allow: [ "192.168.0.1", "192.168.0.2", "192.168.0.3", "192.168.0.4" ]
xpack.security.transport.filter.deny: _all

xpack.security.transport.filter.allow: "2001:0db8:1234::/48"
xpack.security.transport.filter.deny: "1234:0db8:85a3:0000:0000:8a2e:0370:7334"

xpack.security.transport.filter.allow: localhost
xpack.security.transport.filter.deny: '*.google.com'

Elastic Stack 的 Security 功能会使用 Realm 或者一个或多个基于令牌的身份验证服务来验证用户身份。Realm 可基于身份验证令牌来解决问题并验证用户身份。Security 功能提供大量内置 Realm。

通过将 Elasticsearch 作为后端服务，Elastic Stack 支持通过 SAML 单点登录方式 (SSO) 登录 Kibana。通过 SAML 身份验证，可以允许用户使用外部身份提供商服务（例如 Okta 或 Auth0）登录 Kibana。

如果 Elastic Stack 中提供的开箱即用型 Security 功能不支持您使用的身份验证系统，您可以创建一个自定义 Realm 来验证用户身份。

这么多大大小小的公司/组织信得过使用 Elastic Stack 来满足他们的告警需求，肯定有其原因。通过可靠且安全地采集任何来源、任何格式的数据，分析师可以实时搜索、分析和可视化关键数据，而且完成所有这一切时都能使用定制、可靠的告警。

利用针对电子邮件、IBM Resilient、Jira、Microsoft Teams、PagerDuty、ServiceNow、xMatters 和 Slack 的内置集成功能关联告警。通过 Webhook 输出与任何其他第三方系统进行集成。

Elasticsearch 使用的是 RESTful 风格的标准 API 和 JSON。此外，我们还构建和维护了很多其他语言的客户端，例如 Java、Python、.NET、SQL 和 PHP。与此同时，我们的社区也贡献了很多客户端。这些客户端使用起来简单自然，而且就像 Elasticsearch 一样，不会对您的使用方式进行限制。

Elasticsearch 提供一套基于 JSON 的完整查询 DSL（域特定语言），可用来定义查询。查询 DSL 为全文本搜索（包括词汇和短语匹配、模糊匹配、通配符、regex、嵌套查询、地理查询等等）提供了强大的搜索选项。

GET /cn/_search
{
    "query": {
        "match" : {
            "message" : {
                "query" : "this is a test",
                "operator" : "and"
            }
        }
    }
}

Elasticsearch SQL 这项功能可以允许针对 Elasticsearch 实时执行类似 SQL 的查询。无论使用的是 REST 界面、命令行，还是 JDBC，所有客户端都能在 Elasticsearch 中以原生方式使用 SQL 进行数据搜索和聚合。

由于能够查询与特定条件相匹配的事件序列，事件查询语言 (EQL) 可谓专门为安全分析等用例构建的工具。

Elasticsearch SQL JDBC 驱动程序是一个适用于 Elasticsearch 的 JDBC 驱动程序，功能全面丰富。这是一个 Type 4 驱动程序，所以它不依赖于任何平台，是一个直接连到数据库的独立且纯粹的 Java 驱动程序，可以将 JDBC 调用转化为 Elasticsearch SQL。

Elasticsearch SQL ODBC 驱动程序是一个适用于 Elasticsearch 的 3.80 ODBC 驱动程序，功能丰富。这是一个核心层级的驱动程序，提供可通过 Elasticsearch SQL ODBC API 访问的全部功能，将 ODBC 调用转换为 Elasticsearch SQL。

借助面向 Elasticsearch 的 Tableau 连接器，Tableau Desktop 和 Tableau Server 的用户能够轻松访问 Elasticsearch 中的数据。

Elasticsearch 提供了大量工具，供人们配置安全性并使用命令行来执行其他任务。

使用文档 API 针对单一文档或者同时针对多份文档执行 CRUD（创建、读取、更新、删除）操作。

借助 Elasticsearch 的搜索 API，您实施项目时不再局限于全文本搜索。这些 API 还能帮助您实施提示器（词语、短语、补全等等），执行排名评估，甚至就搜索时为何返回或未返回某个文档提供反馈。

聚合框架可以基于搜索查询帮助提供聚合后的数据。该框架的基础是称为聚合的简单构建基块，人们可以对这些构建基块进行编辑以生成有关数据的复杂汇总。可以将聚合看做一个工作单元，用来针对一组文档创建分析信息。 

使用采集 API 针对您的数据管道执行 CRUD 操作，或者使用“模拟”管道 API 来针对文档集合执行具体的管道。

借助各种各样的管理类 API 来通过程序方式管理您的 Elasticsearch 集群。我们提供适用于各种情况（包括索引管理和映射、集群和节点、许可和安全，等等）的 API。而且，如果您需要获得人类易读格式的结果，只需使用 cat API 就可以了。

Elasticsearch for Apache Hadoop（亦称 Elasticsearch-Hadoop 或 ES-Hadoop）是一个免费开源、单体可执行的独立小型库，支持 Hadoop 作业与 Elasticsearch 进行交互。有了这一工具，您可以轻松构建动态的嵌入式搜索应用来处理 Hadoop 数据，还可以使用全文本、空间地理查询和聚合来执行深入的低延时分析。

Elasticsearch for Apache Hadoop 为 Apache Hive 提供出色支持；Apache Hive 是一个适用于 Hadoop 的数据仓库系统，可以协助轻松地完成多项任务，例如数据汇总、临时查询，以及对存储在 Hadoop 兼容文件系统中的大型数据集进行分析。

Elasticsearch for Apache Hadoop 为 Apache Spark（一款快速的通用型集群计算系统）提供出色的支持。它提供 Java、Scala 和 Python 格式的高级 API，同时还提供可支持通用执行图表的优化引擎。

由于有了 JDBC 和 ODBC 界面，大量的第三方 BI 应用程序都能使用 Elasticsearch SQL 功能。

Elasticsearch 是一款免费开源且不区分语言的应用程序，您可以使用插件和集成选项轻松扩展 Elasticsearch 的功能。通过各种插件，您能够以定制方式增强核心 Elasticsearch 功能，而多种集成选项能够让您更轻松地使用 Elasticsearch 的外部工具或模块。

轻松入门，历来如此。只需下载并安装存档形式的 Elasticsearch 和 Kibana，也可使用文件包管理工具进行下载和安装。您瞬间即可对数据进行索引、分析和可视化。而且，使用默认分发包的话，您还可以通过 30 天的免费试用计划体验白金级功能，例如 Machine Learning、Security、图表分析等等。

Elastic Cloud 是我们不断壮大的 SaaS 产品套件系列，旨在让您轻松地在云中部署、操作和扩展 Elastic 产品和解决方案。从易用的托管式和受管式 Elasticsearch 体验到功能强大、直接可用的搜索解决方案，Elastic Cloud 都是一个跳板，能够助您轻松利用 Elastic。免费试用任何 Elastic Cloud 产品，14 天内免费 — 无需提供信用卡。

通过 Elastic Cloud Enterprise (ECE)，您可以配置、管理和监测任何规模、任何基础架构中的 Elasticsearch 和 Kibana，同时通过单个控制台管理一切。您可以选择要在哪里运行 Elasticsearch 和 Kibana：物理硬件、虚拟环境、私有云、公有云中的私有区域，或者只是普通的公有云（例如，Google、Azure 和 AWS）。所有这些我们都支持。

基于 Kubernetes Operator 模式，Elastic Cloud on Kubernetes (ECK) 扩展了 Kubernetes 的基本编排功能，支持在 Kubernetes 上设置和管理 Elasticsearch 和 Kibana。使用 Elastic Cloud on Kubernetes 后，对于在 Kubernetes 中运行 Elasticsearch，这可简化在部署、升级、快照、扩展、高可用性和安全性等方面的流程。

使用官方 Elasticsearch 和 Kibana Helm Charts 在几分钟内即可部署完成。

使用 Docker Hub 中的官方容器在 Docker 上运行 Elasticsearch 和 Kibana。