在ElastAlert中使用环境变量

Question

我正在尝试使用ElastAlert对elasticsearch中的数据实施警报。我想知道是否有办法使用环境变量或属性文件，或者导出用于更改ElastAlert中规则类型中存在的字段的值，而不是在规则文件中手动更改值以减少可能性错误。

例如，我的尖峰规则配置如下所示：

name: Event spike

type: spike

index: alerting-logs-*

threshold_cur: 300

timeframe:   minutes: 2

spike_height: 2

spike_type: "up"

query_key: HostName

filter:
- query:
    query_string: {query: 'smcfsloglevel:ERROR'}

alert:
- "email"

email:
- "someuser@email.com"

现在，如果我想将threshold_cur的值从300更改为500，我可以以某种方式执行此操作，而无需像导出类似{{ {1}}

有没有人有想法实现这个目标？

Answer 1

您是否尝试过在主elastalert.yml文件中定义threshold_cur？

current_threshold:300

然后在您的规则文件中，引用threshold_cur值：

threshold_cur: {{current_threshold}}

我正在发送电子邮件的警报文件中执行类似的操作，并且有效。