elasticsearch ttl force删除旧邮件

Question

Im设置TTL，如manual，但elasticsearch文档说，邮件大于TTL时间将不会受到影响，我如何强制删除旧邮件？

或者也许存在某种方法来删除30天以后的邮件？

Answer 1

从我们的评论回来的往复以下：

因为它是本地到您的计算机无法访问该文档。但从信息似乎你指的是默认 30天，可能由graylog2设置（我确定它不是由Elasticsearch设置）。

但要回答您的问题：如果您的文档上有时间戳字段，请在该时间戳上进行删除查询（选择30天以前的所有文档并删除）。 http://www.elasticsearch.org/guide/en/elasticsearch/reference/current/docs-delete-by-query.html。

要保存，请务必先对同一个查询执行一次提取操作，而不是对其进行删除操作，以查看您是否实际制定了正确的查询。

如果你的文件没有时间戳，我真的不知道该怎么做。尽管如此，我仍然希望看到Elasticsearch不会根据TTL删除这些证据/文档。