Elasticsearch 8.8.0指定字段映射keyword却显示text的问题排查

可能的原因 #

1. Filebeat默认模板优先级更高：Filebeat会自动生成针对filebeat-*索引的默认模板，优先级通常为100。如果你的自定义模板优先级低于这个数值，会被默认模板覆盖，导致字段实际映射还是text类型。
2. 嵌套字段映射配置错误：如果配置模板时没有逐层正确嵌套定义source.as.organization.name和destination.as.organization.name的结构，比如路径写错或遗漏了上层object类型的声明，模板配置不会生效。
3. 已存在索引的映射无法自动更新：若索引在配置正确模板前就已创建，旧索引的字段映射不会自动变更，新模板仅对后续创建的索引生效。

解决步骤 #

1. 确认并调整模板优先级 #

• 执行命令查看所有索引模板的优先级：

  curl -X GET "http://<你的ES地址>:9200/_index_template?pretty"
  

• 找到Filebeat默认模板（名称通常包含filebeat）和你的自定义模板，将自定义模板的priority值设为高于Filebeat模板（比如200）。

2. 修正自定义模板的字段映射 #

确保模板正确嵌套定义目标字段类型，示例配置如下：

PUT _index_template/your-custom-filebeat-template
{
  "index_patterns": ["filebeat-*"],
  "priority": 200,
  "mappings": {
    "properties": {
      "source": {
        "properties": {
          "as": {
            "properties": {
              "organization": {
                "properties": {
                  "name": {
                    "type": "keyword"
                  }
                }
              }
            }
          }
        }
      },
      "destination": {
        "properties": {
          "as": {
            "properties": {
              "organization": {
                "properties": {
                  "name": {
                    "type": "keyword"
                  }
                }
              }
            }
          }
        }
      }
    }
  }
}

3. 处理已存在的索引 #

已创建的索引无法直接修改字段类型，需通过重新索引迁移数据：

1. 创建匹配自定义模板的新索引：

   curl -X PUT "http://<你的ES地址>:9200/new-filebeat-index-000001?pretty"
   

2. 执行reindex命令迁移旧索引数据到新索引：

   POST _reindex
   {
     "source": {
       "index": "旧的filebeat索引名"
     },
     "dest": {
       "index": "new-filebeat-index-000001"
     }
   }
   

3. 在Kibana中切换索引模式至新索引，或删除旧索引模式后重新创建。

4. 验证结果 #

• 查看新索引的映射，确认目标字段类型为keyword：

  curl -X GET "http://<你的ES地址>:9200/new-filebeat-index-000001/_mapping?pretty"
  

• 在Kibana中查看新索引的记录，确认字段旁的图标已变为keyword类型的k图标。

内容的提问来源于stack exchange，提问作者Rayne