Logstash Elasticsearch输出使用输入文件中的已解析字段

Question

我有很多旧的日志文件，格式为drupallogYYYYMMDD ，我想在logstash中抛出，默认情况下，elasticsearch输出为今天创建索引。 我可以使用index: "...."覆盖它index: "...."但是有没有办法在logstash conf文件中设置它，所以从上面获取YYYYMMDD并将其转换为命名约定logstash-YYYY-MM-DD ？

Answer 1

elasticsearch 输出的索引选项默认为“logstash - ％{+ YYYY.MM.dd}”，但如果您喜欢日期中的连字符，则可以将其更改为“logstash - ％{+ YYYY-MM-dd}”。

插入到所述索引名称模式中的日期是每个消息（即@timestamp）字段的时间戳。 由于@timestamp是UTC，因此可能与日志文件名中的日期不完全对应，具体取决于您为文件命名的方式以及您所在的时区。您不应尝试更改@timestamp字段的时区。 其他工具依赖于消息的@timestamp字段与其存储的索引之间的映射。