Kibana能否为不同Space自动按月创建索引？及实现方案咨询

一、可以实现自动创建，具体操作步骤如下 #

1. 调整Logstash配置实现动态月度索引命名 #

修改Logstash的output模块，利用日期变量生成月度索引名，同时通过字段标识区分目标Space。比如你的日志里有space_tag字段用来标记所属Space，配置示例：

output {
  elasticsearch {
    hosts => ["http://your-es-instance:9200"]
    index => "%{[space_tag]}-business-logs-%{+YYYY.MM}"
    user => "es-admin"
    password => "your-password"
  }
}

如果日志里没有Space标识字段，可在filter阶段通过日志来源、类型等添加自定义字段，比如：

filter {
  if [source] =~ /\/app-a\// {
    mutate {
      add_field => { "space_tag" => "app-a-space" }
    }
  }
}

2. 创建Elasticsearch索引模板绑定Space #

通过索引模板让新创建的索引自动关联到指定Space：

• 进入Kibana的Stack Management > Index Management > Index Templates
• 新建模板，设置索引匹配模式（比如app-a-space-business-logs-*）
• 在Settings > Advanced Settings中添加参数 xpack.security.space，值为目标Space的ID（可在Space管理页面查看）
• 同时在模板中配置好该Space下角色的读写权限，确保对应Space用户能正常访问索引

3. 验证自动流程 #

当Logstash输出日志时，会自动生成对应月份的索引，由于匹配了预设模板，Elasticsearch会自动将索引分配到指定Space，无需手动操作。

二、脚本调用API的备选方案 #

如果上述模板方案不符合你的业务逻辑，可通过Elasticsearch REST API编写脚本实现自动化，核心API如下：

1. 创建索引并绑定Space：

curl -X PUT "http://your-es-instance:9200/$(date +%Y.%m)-app-a-logs" \
-H "Content-Type: application/json" \
-u "es-admin:your-password" \
-d '{
  "settings": {
    "xpack.security.space": "app-a-space"
  },
  "mappings": {
    "properties": {
      "log_time": { "type": "date" },
      "content": { "type": "text" }
    }
  }
}'

2. 权限配置API：用于给Space角色分配索引权限，示例：

curl -X PUT "http://your-es-instance:9200/_security/role/app-a-space-reader" \
-H "Content-Type: application/json" \
-u "es-admin:your-password" \
-d '{
  "indices": [
    {
      "names": ["*app-a-logs*"],
      "privileges": ["read"]
    }
  ],
  "spaces": ["app-a-space"]
}'

可将上述脚本设置为定时任务（如Linux cron每月执行一次），提前创建下月索引并完成Space绑定与权限配置。

内容的提问来源于stack exchange，提问作者Andrew