elasticsearch 使用Watcher以文本形式发送所有聚合（ElasticSearch）

我现在正在配置Watcher，以便在访问日志中搜索，查看到目前为止有多少错误，并将其发送到一个空闲帐户。 我遇到的问题是，我不知道查询完成后会有多少个聚合，在我的配置中，最多发送5个聚合，但如果结果大于5个聚合，则不起作用

我正在查询中搜索404状态代码，并仅对一台服务器进行筛选，然后我只需要将所有bucket结果作为通知发送，如下所示：

总数：其用户的总数 日志： 日志1：结果数量 日志2：结果数量 log3：结果的数量 日志4：结果数量 日志5：结果数量 日志6：结果的数量

以下是我的配置：

  "trigger" : {
    "schedule" : { "interval" : "1h" } 
  },
  "input" : {
    "search" : {
      "request": {
      "body": {
        "query": { 
          "bool": {
            "must": [
              { "range": {
                "@timestamp": {
                  "gte": "now-1h",
                  "lte": "now"
                }
                }
              }, 
              {
                "match": {
                  "beat.hostname": "someserver"
                }
              }
            ], 
            "filter": {
              "term": {
                "response": "404"
              }
            }
          }
        },
        "aggs": {
          "host": {
            "terms": {
              "field": "beat.hostname",
              "size": 1
            }
          },
          "logs_list": {
            "terms": {
              "field": "source",
              "size": 10
            }
          }
        }
       }
      }
    }
  },
    "condition": {
    "compare" : { "ctx.payload.hits.total" : { "gt" : 0 }}
  },
  "actions" : {
    "notify-slack" : {
      "throttle_period" : "30m",
      "slack" : {
        "message" : {
          "from": "Watcher",
          "to" : [ "somechannel" ],
          "attachments" : [
          {
            "title" : "400 code status found",
            "text" : "Encountered: {{ctx.payload.hits.total}} in the last hour on {{ctx.payload.aggregations.host.buckets.0.key}} \n Files: \n {{ctx.payload.aggregations.logs_list.buckets.0.key}}: {{ctx.payload.aggregations.logs_list.buckets.0.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.1.key}}: {{ctx.payload.aggregations.logs_list.buckets.1.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.2.key}}: {{ctx.payload.aggregations.logs_list.buckets.2.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.3.key}}: {{ctx.payload.aggregations.logs_list.buckets.3.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.4.key}}: {{ctx.payload.aggregations.logs_list.buckets.4.doc_count}} \n {{ctx.payload.aggregations.logs_list.buckets.5.key}}: {{ctx.payload.aggregations.logs_list.buckets.5.doc_count}}",
            "color" : "danger"
          }
        ]
        }
      }
    }
  }

我不知道我应该如何在行动中发送“文本”，有什么想法我应该如何传递所有结果？

---

提前感谢，我正在使用xpack、ELK和logstash。

如果我正确理解您的问题，您希望在操作中循环您的聚合。试试这个：

{{#ctx.payload.aggregations.myAggName.buckets}}
    {{key}}: {{doc_count}}
{{/ctx.payload.aggregations.myAggName.buckets}}