我正在使用logstash索引我的弹性数据库中的一些旧日志文件。我需要kibana/elastic将日志文件中的时间戳设置为main @timestamp。Im使用grok过滤器的方式如下：%{TIMESTAMP_ISO8601：@timestamp}但elasticsearch将索引时间设置为main @timestamp，而不是日志行中写入的时间戳。知道我做错了什么吗？谢谢
a5g8bdjr1#
使用date filter来设置@timestamp字段。将时间戳以任何格式提取到一个单独的（临时）字段中，例如timestamp，并将其提供给日期过滤器。在您的情况下，您很可能能够使用特殊的ISO8601时间戳格式令牌。
@timestamp
timestamp
filter { date { match => ["timestamp", "ISO8601"] remove_field => ["timestamp"] } }
djmepvbi2#
这对我很有效。
filter { grok { match => ["message", "%{TIMESTAMP_ISO8601:tstamp}"] } date { match => ["tstamp", "ISO8601"] } }
2条答案
按热度按时间a5g8bdjr1#
使用date filter来设置
@timestamp字段。将时间戳以任何格式提取到一个单独的（临时）字段中，例如timestamp，并将其提供给日期过滤器。在您的情况下，您很可能能够使用特殊的ISO8601时间戳格式令牌。djmepvbi2#
这对我很有效。