如何通过API在Kibana为ES已有索引创建带时间戳字段的索引模式？

当然有对应的API实现方法！我帮你整理了详细的步骤和示例，直接就能上手👇

前提条件 #

• 你需要拥有Kibana的管理权限（比如kibana_admin或manage_index_patterns角色），才能创建索引模式。
• 确保你的Elasticsearch和Kibana版本匹配（以下示例基于7.x/8.x版本，这两个版本的API逻辑一致）。
• 目标ES索引已经存在，且你指定的时间戳字段（比如@timestamp）是date类型。

具体API调用示例 #

我们使用Kibana的Saved Objects API来创建索引模式，核心是发送一个POST请求到指定端点：

curl命令示例 #

# 替换你的Kibana地址、端口，以及索引模式相关参数
curl -X POST "http://your-kibana-host:5601/api/saved_objects/index-pattern/my-target-index-*" \
-H "kbn-xsrf: true" \  # Kibana强制要求的防CSRF头，不能省略
-H "Content-Type: application/json" \
-d '{
  "attributes": {
    "title": "my-target-index-*",  # 匹配你的ES索引的模式，比如你的索引是app-logs-*就填这个
    "timeFieldName": "@timestamp", # 指定作为时间戳的字段，确保该字段在ES索引中是date类型
    "fields": "[{\"name\":\"@timestamp\",\"type\":\"date\"},{\"name\":\"message\",\"type\":\"text\"}]" # 可选：预定义字段类型，省略的话Kibana会自动从ES映射中加载
  }
}'

参数说明 #

• title：必填，就是你的索引模式规则，必须和ES中实际的索引名称匹配（支持通配符*）。
• timeFieldName：必填，你要设置为时间戳的字段名，比如常见的@timestamp或event.time。
• fields：可选，如果你想手动指定字段的类型，可以传JSON数组的字符串形式；如果省略，Kibana会自动从ES的索引映射中同步字段信息，大部分场景下不需要手动填写。

认证说明（针对8.x版本或启用了安全的集群） #

如果你的Kibana启用了身份验证，需要在curl中添加用户名和密码：

curl -u "username:password" -X POST "http://your-kibana-host:5601/api/saved_objects/index-pattern/my-target-index-*" \
# 其余头和请求体同上

验证创建结果 #

发送GET请求可以检查索引模式是否创建成功：

curl -X GET "http://your-kibana-host:5601/api/saved_objects/index-pattern/my-target-index-*" \
-H "kbn-xsrf: true"

返回的JSON中如果包含你设置的timeFieldName和title，就说明创建成功了。

注意事项 #

• 如果你的索引模式ID（URL中的my-target-index-*）已经存在，会返回409冲突错误，此时可以改用PUT请求来更新现有索引模式。
• 确保Kibana能正常连接到Elasticsearch集群，否则会返回连接失败的错误。
• 时间戳字段必须在ES索引中存在且为date类型，否则Kibana会无法识别该字段作为时间维度。

内容的提问来源于stack exchange，提问作者Akshay Singhvi