千万级Nginx日志ES索引需按天分索引+别名管理、字段精准映射（keyword/date/numeric）、合理设分片与副本、禁用动态映射、定期调优。
为千万级 Nginx 日志设计 Elasticsearch 索引，核心是让查询快、存储省、扩展稳。不能照搬默认模板，必须围绕日志结构、查询模式和时间特性做针对性设计。
按天索引 + 别名管理
每天一个索引（如 nginx-access-2026.05.07），避免单索引过大导致查询慢、删除难、恢复慢。配合索引别名（如 nginx-access-current 或 nginx-access-last7）实现无缝滚动和灵活查询范围控制。删除过期数据时只需删整个索引，不触发 segment 合并压力。
示例操作：
- Filebeat 输出配置中启用 index: "nginx-access-%{+yyyy.MM.dd}"
- 创建别名：POST /nginx-access-2026.05.07/_alias/nginx-access-last30
- Kibana 中用别名查数据，无需每次改索引名
字段类型精准映射
Nginx 日志字段若全设为 text 类型，会触发分词、增大倒排索引体积、拖慢聚合与精确匹配。关键字段应明确声明为 keyword 或 date：
- remote_addr、status、request_method、http_user_agent → keyword（支持 term 查询和 terms 聚合）
- @timestamp、time_local → date（启用时间范围查询加速和直方图聚合）
- body_bytes_sent、upstream_response_time → float 或 long（支持数值范围、统计聚合）
- 避免对 request_uri 全字段分词；可保留原始 keyword，另加 request_uri.path 子字段用于路径分析
合理设置分片与副本
千万级日志单日约 1–3 GB 时，建议单索引设 2–4 个主分片，不盲目堆分片数。过多分片增加协调开销、降低查询吞吐；过少则无法利用多节点并行能力。
- 主分片数在创建索引时固定，不可修改，务必预估峰值写入量与查询并发
- 副本数设为 1（生产环境最低可用保障），写入压力大时可临时设为 0，完成后再恢复
- 使用 index.routing.allocation.require.box_type: hot 配合热温架构，将新索引分配到高性能节点
禁用非必要字段与动态映射
默认开启的 dynamic: true 容易把日志里偶发字段（如拼错的 header 名）自动加入 mapping，污染结构、拖慢性能。
- 在索引模板中设 dynamic: false，只允许预定义字段入库
- 显式关闭 _source 中冗余字段（如完整原始日志行），或用 source filtering 控制返回内容
- 对纯分析用途字段（如 client IP 归属地），用 ingest pipeline 在写入时富化，不依赖运行时计算
不复杂但容易忽略：索引设计不是一次配置完就一劳永逸的事。随着查询需求变化（比如新增按 URL 参数聚合）、日志格式升级或集群扩容，需定期 review mapping 和分片策略，结合 _cat/shards、indices.stats 和慢查询日志持续调优。
