想使用 es 对上网日志进行分析，流控设备记录的用户访问日志可输出给 kafka ，日志中有用的信息如下：
时间 域名 URI 账号
目前思路是通过 logstash 读 kafka 数据，拆分后进 es 中建索引，但是最终想统计的是账号所在的部门对某个站点的访问量，例如：1 个月内，技术部，访问 www.163.com 的次数。
现在索引里面只有账号信息，账号和部门的对应关系在其他数据库中，应该如何把部门信息与账号匹配后存在 es 中？
现在想到的两种方式（但是不知道是否可以以及如何实现）
1.将账号和部门信息存在文件或 redis 里，logstash 有多个 input ，同时从 kafka 和文件读，从 kafka 读一条日志的时候，用账号去匹配部门，然后一起写到 es 中，如果可以，需要用 logstash 如何来实现？
2.logstash 正常处理日志进 es ，在 es 中新增一个部门字段，然后用账号匹配部门信息（不知道如何实现），写到这个新字段里。这样应该用到 es 的什么功能？
Elasticsearch 新手，望不吝赐教。