通过可疑用户、故障服务、嵌套集合和多索引示例，理解 Elasticsearch 9.5 技术预览中的 WHERE IN 子查询，以及单列、类型和排序限制。

以员工与部门数据为例，完整解释 ES|QL LOOKUP JOIN 的左连接语义、单主分片约束、协调节点与数据节点的分工，以及延迟加载字段的执行思路，并区分 8.18 技术预览与后续语法变化。

完整整理 2017 年日志管道方案，保留 Filebeat、Cloudfrontbeat、Ingest、Kibana 和 OAuth 配置，以原链接完整 JSON 修复网页缺损，并说明旧版本与认证边界。