Elasticsearch 7.17.6自动删除超期文档的替代方案咨询（TTL已弃用）

针对你需要自动删除单索引内超过特定时长文档的需求，以下是两种无需人工干预的替代方案：

方案一：使用Elasticsearch Watcher自动执行Delete by Query #

Watcher是Elasticsearch内置的监控与自动化工具，可定时触发指定操作，适配你的自动化需求。

配置步骤： #

1. 确保Elasticsearch集群已启用Watcher（付费版默认可用，开源版需安装X-Pack插件）
2. 创建Watcher，设置定时触发规则（比如每天凌晨执行），并定义触发后执行的Delete by Query操作。

示例Watcher配置（删除@timestamp字段超过2年的文档）：

{
  "trigger": {
    "schedule": {
      "daily": {
        "at": "00:00"
      }
    }
  },
  "input": {
    "simple": {
      "request": {
        "method": "POST",
        "path": "/your_index/_delete_by_query",
        "body": {
          "query": {
            "range": {
              "@timestamp": {
                "lt": "now-2y"
              }
            }
          }
        }
      }
    }
  },
  "actions": {
    "delete_expired_docs": {
      "webhook": {
        "method": "POST",
        "url": "{{ctx.input.request.path}}",
        "body": "{{ctx.input.request.body}}"
      }
    }
  }
}

方案二：外部定时任务调度Delete by Query #

若无法使用Watcher，可借助外部调度工具（如Linux Cron、Windows任务计划程序）定时调用Elasticsearch的Delete by Query API。

示例（Linux Cron）： #

1. 创建Shell脚本delete_expired_docs.sh：

#!/bin/bash
curl -X POST "http://your-es-host:9200/your_index/_delete_by_query" \
  -H "Content-Type: application/json" \
  -d '{
    "query": {
      "range": {
        "@timestamp": {
          "lt": "now-2y"
        }
      }
    }
  }'

2. 给脚本添加执行权限：chmod +x delete_expired_docs.sh
3. 配置Cron定时执行（每天凌晨0点）：

0 0 * * * /path/to/delete_expired_docs.sh >> /var/log/es_delete.log 2>&1

补充说明 #

• 建议先在测试环境验证查询条件准确性，避免误删有效文档
• 若文档量较大，Delete by Query可能占用较多集群资源，建议在业务低峰期执行

内容的提问来源于stack exchange，提问作者Sunandan Bose