如何在Elastic中基于Epoch时间字段创建提前30天告警规则？

方案1：修改字段映射为Date类型（推荐） #

Elasticsearch对Date类型的时间范围查询支持最完善、性能最优，优先采用此方案。注意：无法直接修改已有索引的字段类型，需通过重建索引实现：

1. 查看当前索引映射，确认Expiration字段类型：

GET /your-index-name/_mapping

2. 创建新索引并配置正确的Date映射，指定epoch_second格式匹配你的秒级Epoch值：

PUT /new-your-index-name
{
  "mappings": {
    "properties": {
      "Name": {"type": "keyword"},
      "cluster": {"type": "keyword"},
      "Expiration": {"type": "date", "format": "epoch_second"}
    }
  }
}

3. 迁移旧索引数据到新索引：

POST /_reindex
{
  "source": {"index": "your-index-name"},
  "dest": {"index": "new-your-index-name"}
}

4. 替换索引别名（可选，避免修改业务代码）：

POST /_aliases
{
  "actions": [
    {"remove": {"index": "your-index-name", "alias": "your-alias-name"}},
    {"add": {"index": "new-your-index-name", "alias": "your-alias-name"}}
  ]
}

完成后，在告警规则中直接使用标准日期范围过滤：

{
  "query": {
    "range": {
      "Expiration": {
        "gte": "now",
        "lte": "now+30d"
      }
    }
  }
}

方案2：不修改字段类型，用Runtime字段或脚本过滤 #

若无法重建索引（如业务不能中断、数据量过大），可在告警查询中通过Runtime字段将数值型Epoch转换为Date类型后过滤：

Runtime字段查询示例 #

在告警规则的查询部分添加runtime_mappings，动态生成Date类型字段用于过滤：

{
  "runtime_mappings": {
    "Expiration_date": {
      "type": "date",
      "script": "emit(doc['Expiration'].value * 1000);" // 秒转毫秒适配Elasticsearch Date类型
    }
  },
  "query": {
    "range": {
      "Expiration_date": {
        "gte": "now",
        "lte": "now+30d"
      }
    }
  }
}

直接脚本查询（备选） #

若不想用Runtime字段，可直接通过Script Query完成数值范围判断：

{
  "query": {
    "script": {
      "script": {
        "source": "def nowSec = Math.floor(new Date().getTime()/1000); def expireThreshold = nowSec + 30*24*60*60; return doc['Expiration'].value >= nowSec && doc['Expiration'].value <= expireThreshold;"
      }
    }
  }
}

告警规则收尾设置 #

无论采用哪种方案，最后在告警规则的触发条件中设置为「查询返回文档数 > 0」，并配置好通知渠道（邮件、Slack等）即可。

内容的提问来源于stack exchange，提问作者Naveen Kumar