如何在Kibana Monitor中为Elasticsearch查询的每条命中结果触发动作

首先明确核心规则：foreach语句不需要写在Trigger Conditions输入框中，该输入框仅负责判断整个告警规则是否需要激活，不支持直接编写循环逻辑，具体配置方法如下： #

基础配置逻辑 #

• Trigger Conditions（触发条件）只需要填写常规阈值判断规则，保证查询有命中结果时激活整个告警即可，示例配置：

  ctx.payload.hits.total.value > 0
  

• foreach逻辑在后续的动作配置环节实现，Kibana已经封装了对应的可视化配置项，不需要手动编写完整的循环语句

具体操作步骤 #

1. 先完成Monitor的基础查询配置，调试确认查询可以返回你需要处理的命中结果集
2. 完成Trigger Conditions配置后进入动作配置页面，找到「为每个匹配结果单独执行动作」或「Per alert」选项（不同Kibana版本显示名称略有差异），开启该选项就等同于启用了foreach逻辑，系统会自动遍历查询返回的ctx.payload.hits.hits数组，为每一条命中结果单独触发一次动作
3. 如果需要自定义遍历的对象（比如遍历查询结果中的某个自定义数组字段而非默认的命中结果集），可以切换到动作的高级配置模式，手动添加foreach参数即可，示例格式：

"foreach": "ctx.payload.my_custom_array"

4. 动作内容中可以直接通过{{ctx.payload._source.字段名}}的语法引用当前遍历到的单条结果的字段值，系统会自动完成匹配

适配旧版本的特殊说明 #

如果你使用的是7.10之前的Kibana版本，没有可视化的单条结果触发开关，可以直接切换到「编辑为API请求」模式，手动在告警规则的actions配置块中添加foreach参数即可生效。
建议提前给查询设置合理的size上限，避免命中结果过多导致动作执行次数超限。

内容的提问来源于stack exchange，提问作者henry sneed