Watcher是一種Elasticsearch功能，可用於根據條件創建操作，這些條件使用對數據的查詢定期評估。Watcher有助於分析關鍵任務和關鍵業務流數據。
例如，您可能會在應用程序日誌中查看性能中斷，或者在訪問日誌中查看安全威脅。
上一篇提到的 Alerts 這兩個還是有些需差別的

• Watcher是運行於Elasticsearch，Alert是運行在Kibana的服務
• Alert把一些複雜的條件都隱藏起來功能也較簡單，Watcher 提供更複雜條件查詢，也可以透過DSL設定更複雜的條件。

透過Kibana來建立Watcher

點選Stack Management，再進入Watcher 然後選Create

依序填入

• Name Watcher名稱
• Indices to query 要監控的Index名稱(可以設定多個)
• Time field 設定Time欄位(通常是@timestamp)
• Run watch every 設定多久監控一次，最小單位到秒
• Match the following condition 監控條件，可以點選修改簡單的聚合條件
• Add Actions 設定動作(可以設定多個)

然在Create Alert

建立成功應該多一筆，可以查看目前狀態是什麼

• Firing 監控正在觸發中
• Error 有錯誤，無法正常工作
• OK 正常運作
• Disabled 已禁用

點進去看可以觀察的確每一分鐘都有執行一次監控