求助：如何用Kibana创建15分钟无数据接收的告警？

用Index Threshold告警实现的正确配置步骤 #

你之前尝试Index Threshold没成功，大概率是聚合条件或状态切换配置没到位，按以下步骤来：

1. 打开Kibana，进入「Alerts and Insights」→「Alerts」，点击「Create alert」，选择「Index threshold」告警类型。
2. 数据源配置：
   • 选择你要监控的目标索引/索引模式
   • 时间范围设置为「Last 15 minutes」（滚动时间窗口，确保每次检查最近15分钟的数据）
   • 分组字段（可选）：如果需要按特定维度（如主机、业务线）单独告警，选择对应字段；无需分组则留空。
3. 阈值条件设置：
   • 聚合方式选择「Count」（统计文档总数）
   • 条件设置为「is less than or equal to」0
   • 这里要确认是统计目标时间范围内的所有文档数，若有分组则是每组的文档数。
4. 状态切换与通知配置：
   • 在「Actions」板块添加你需要的通知渠道（邮件、Slack等）
   • 必须勾选「Notify on recovery」选项，这样当15分钟内重新收到数据时，会自动触发恢复状态通知，实现「活跃」「恢复」的状态切换。

排查问题的关键点 #

如果还是无法创建或触发，检查以下几点：

• 确认索引模式是否正确包含了你的数据源，没有过滤掉目标数据
• 时间范围是否设置为滚动的「Last 15 minutes」，而非固定时间区间
• 若使用分组字段，确保该字段在目标数据中存在有效取值，避免统计异常
• 查看Kibana日志（kibana.log），排查是否有配置错误或权限问题

替代方案：Metric Threshold告警 #

如果Index Threshold仍有问题，也可以用「Metric threshold」告警实现：

1. 选择「Metric threshold」类型，数据源选你的索引模式
2. 指标选择「Count」（文档计数），时间窗口设为15分钟
3. 阈值条件设为≤0，同样勾选「Notify on recovery」来支持状态切换

内容的提问来源于stack exchange，提问作者aniketpant