是否可以编辑Elasticsearch快照，修复空快照及重复数据问题

1. 快照替换操作（B替换为A的副本、D替换为C的副本） #

Elasticsearch 快照创建后为只读状态，无法直接修改原有快照内容，可根据你的集群版本选择对应操作方案：

方案1：ES 7.10及以上版本（支持快照克隆，效率最高） #

• 先清理无效快照：
  执行命令删除空快照B：DELETE _snapshot/<替换为你的快照仓库名称>/B
  执行命令删除带重复数据的快照D：DELETE _snapshot/<替换为你的快照仓库名称>/D
• 直接克隆生成目标快照：
  克隆A为B：POST _snapshot/<替换为你的快照仓库名称>/A/_clone/B
  克隆C为D：POST _snapshot/<替换为你的快照仓库名称>/C/_clone/D

方案2：低版本ES（无快照克隆功能） #

• 第一步：清理无效快照B、D，命令同方案1
• 第二步：恢复源快照到临时索引（避免影响线上业务索引），以A为例：

  POST _snapshot/<替换为你的快照仓库名称>/A/_restore
  {
    "indices": "<需要复制的索引名称>",
    "rename_pattern": "(.+)",
    "rename_replacement": "tmp_$1"
  }
  

• 第三步：基于临时索引创建新快照B：

  PUT _snapshot/<替换为你的快照仓库名称>/B
  {
    "indices": "tmp_<原索引名称>",
    "ignore_unavailable": true,
    "include_global_state": false
  }
  

• 重复第二步、第三步操作，将C恢复到临时索引后创建快照D即可。
• 操作完成后删除临时索引释放存储空间：DELETE tmp_<原索引名称>

2. 快照重复数据的查找与删除 #

快照本身无法直接编辑，需要先恢复到临时索引后再处理重复数据：

• 查找重复数据：
  恢复目标快照到临时索引后，通过terms聚合查询重复的业务唯一键，示例命令：

  GET <临时索引名称>/_search
  {
    "size": 0,
    "aggs": {
      "duplicate_keys": {
        "terms": {
          "field": "<业务唯一字段名，例如文档ID/订单号等>",
          "min_doc_count": 2,
          "size": 10000
        }
      }
    }
  }
  

  返回结果的aggregations.duplicate_keys.buckets列表即为所有出现重复的唯一键值。
• 删除重复数据：
  查到重复键后，通过delete_by_query接口保留最新版本文档，删除多余重复项，示例命令：

  POST <临时索引名称>/_delete_by_query?conflicts=proceed
  {
    "query": {
      "terms": {
        "<业务唯一字段名>": [<查询到的重复键列表>]
      }
    },
    "sort": [{"<时间字段名，例如@timestamp>": "asc"}],
    "max_docs": <重复数量-1，例如每个键重复2次则填1>
  }
  

• 去重完成后，基于清理后的临时索引重新生成快照即可。

注意事项 #

• 所有操作建议先在测试环境验证，避免误删有效快照数据
• 快照删除、创建、克隆操作会占用仓库IO资源，建议在业务低峰期执行
• 涉及数据删除操作前，建议先对原有异常快照做一次备份，避免数据丢失

内容的提问来源于stack exchange，提问作者Sunil Yerra