elk普通的搜索直接加上引号在搜索栏搜索即可。复杂的语法规则查询，没必要耽误时间用哪个Lucene语法，还不如用页面上

标签（空格分隔）： linux

kibana

比如需求就是查询最近7天内 lesson_check_in 接口 http_status_code 为 -1 （超时）的按日期的数量分布，并创建一个 visualize 放在 dashboard 方便日后查询。

在主页面点 visualize tab，进去后点 + 号新增
选 vertical bar 类型
索引选 node-access-* 类型
默认输出了所有的日志，所以点击 add a filter 输入 ht 选择 http_status_code 并设置为 is -1, save 后柱状图就会立即变化。继续点击 add a filter 添加 url is lesson_check_in 而不是 url.keyword (这个原因回头再研究研究)。
Buckets 选择 X-Axis, Aggregation 选择 Date Histogram, field 选择 time, Interval 选择 Daily
右上角选择时间区间为 last 7 days
点击 Apply Changes，就是那个三角启动。
注意页面上面的 search 栏也是有效的。
创建 Visualize 成功，点击页面上方的 Save 按钮来保存它并取个名字。
点击左侧的 Dashboard tab，点击 + 号，选择刚才创建的 Visualize 加入 Dashboard，Dashboard 也可以创建一个子目录把同一类的 Visualize 放一块。