Kibana4でnot analyzedなFieldに対してフィルタをかけたいときの注意点 #Kibana4

Kibana4ではフィルタをかけるとき、query_string queryを投げています。

このquery_string queryのデフォルトの挙動では、クエリ文字列を全て小文字に変換して検索するという仕様があります。

そのため、特にnot analyzedのような大文字がインデックスされているフィールドに対しては、クエリ文字列上で明示した大文字の部分がヒットしない、という事が起きます。

この挙動を防ぎ、記述した通りのクエリ文字列で検索するためkibana4では、
Settings > Advanced > query:queryString:options

に対して以下の設定を追記するといいでしょう。

デフォルト：
json:default { "analyze_wildcard": true }

追記後：
json:lowercase_expanded_terms_false { "analyze_wildcard": true , "lowercase_expanded_terms" : false}