Практическое руководство

Как искать логи в Kibana Discover и настроить фильтры KQL

В логах есть нужная операция, но Discover показывает пустую таблицу или тысячи соседних событий. Начните с источника данных и времени, затем сужайте поиск по известному полю.

Команда Checkcraft · Обновлено 10 октября 2026

Выбрать источник и время

В классическом режиме Discover проверьте data view, поле времени и диапазон в time picker. Ищите интервал вокруг фактического выполнения запроса с учётом часового пояса. Названия элементов зависят от версии Kibana. Этот пример использует KQL, а не ES|QL или Lucene.

Найти одну операцию по traceId

В примере ниже используем учебное значение trace.id. Замените имя поля и идентификатор на те, которые реально записывает ваше приложение. Поле может называться traceId или иначе.

trace.id: "demo-order-1042"

Сначала найдите всю трассу без ограничения уровнем ошибки. Если сразу оставить только ERROR, можно потерять успешные шаги, которые объясняют причину сбоя. Поиск логов операции по traceId показывает связь с проверкой в Checkcraft.

Отфильтровать несколько значений и другое поле

service.name: ("orders" or "payments") and log.level: "ERROR"

Условие оставляет события одного из двух сервисов с уровнем ERROR. Поля здесь учебные. Для keyword-поля проверяйте точное написание и регистр значения. Для text-поля результат зависит от анализатора.

Проверить наличие поля

trace.id: *

Так можно найти документы с индексированным значением поля. Это не проверка полноты всей трассы и не доказательство, что каждый сервис записал лог. Для полноты нужны ожидаемые события и их связь с одной операцией.

Если логи не находятся

Уберите узкие фильтры и проверьте, виден ли хотя бы один документ в выбранном источнике. Затем верните известное поле и время. Если свежих документов нет, проверьте доставку логов и права доступа с владельцем инфраструктуры. Замена поисковой строки не исправит отсутствие данных.

Когда ручной поиск уже повторяется

После того как вы нашли правильную выборку, можно сформулировать ожидаемый результат операции и повторять проверку. В Checkcraft для этого есть сценарий проверки HTTP-запроса и связанных логов. Подключение зависит от доступов и настроек вашей Kibana. Приложение не создаёт отсутствующие логи и не заменяет их хранение.

Документация для сверки

Материал сверен 10 октября 2026 года. Elastic о Discover · Синтаксис KQL · Фильтры времени в Kibana.