大神我这边有个时区的问题一直没法儿解决，能帮个忙嘛？
从网上找的下面的语句。但是实际使用的时候，发现有的日志时间统一，有的时间不统一。
filter {
date {
match => ["message","UNIX_MS"]
target => "@timestamp"
}
ruby {
code => "event.set('timestamp', event.get('@timestamp').time.localtime)"
}
ruby {
code => "event.set('@timestamp',event.get('timestamp'))"
}
mutate {
remove_field => ["timestamp"]
gsub => ["message","SLBHealthCheck","KeepAliveClient"]
}
}
从网上找的下面的语句。但是实际使用的时候，发现有的日志时间统一，有的时间不统一。
filter {
date {
match => ["message","UNIX_MS"]
target => "@timestamp"
}
ruby {
code => "event.set('timestamp', event.get('@timestamp').time.localtime)"
}
ruby {
code => "event.set('@timestamp',event.get('timestamp'))"
}
mutate {
remove_field => ["timestamp"]
gsub => ["message","SLBHealthCheck","KeepAliveClient"]
}
}
6 个回复
strglee
赞同来自: vip429463267
strglee
赞同来自: panbuhei
在logstash filter 解决
1. 增加一个字段，计算timestamp 8小时
2. 用mutate插件先转换为string类型,gsub只处理string类型的数据，在用正则匹配，最终得到想要的日期
3.output配置
zhuw0312 - 一介煮夫。
赞同来自:
图中2位置的时间是一样了，但是4月19号的日志怎么会出现在4月18号的index里呢？
zhuw0312 - 一介煮夫。
赞同来自:
zqc0512 - andy zhou
赞同来自:
ELK_Funs
赞同来自:
我的索引是每天一个，但是每天轮转索引的时候，是在早上8点钟。就是晚了8个小时，不是在0点进行的。0-8点这个时间段的日志都是存储在昨天的index中的