使用logstash中的日期解析日期时出现“_dateparsefailure”

Question

我的日期格式如下

"_messagetime" => "08/08/2022 22:18:17.254 +0530"

我在我的 logstash 中使用日期过滤器

date {
    match => ["_messagetime", "YYYY-MM-dd HH:mm:ss.SSS"]
} 

但我得到

"_dateparsefailure"

谁能建议我的方法可能有什么问题

Answer 1

您的错误是由_messagetime字段内容中的“+0530”字符串引起的。

要解决此问题，一种选择是：

• 在日期插件之前删除此字符串，您可以使用grok或dissect执行此操作

例如：

filter {
  grok {
    match => { "_messagetime" => "%{DATESTAMP:newdate}%{DATA:trash}" }
  }
}

• 应用相同日期的插件配置，现在必须在新内容上工作，而不会出现“+0530”

Answer 2

日期过滤器必须与字段的整个值匹配。 它不能只解析前缀。 此外，您的日期过滤器具有 YYYY-MM-dd，但您的字段具有 dd/MM/YYYY。

您可以使用解析该字段

date { match => ["_messagetime", "dd/MM/YYYY HH:mm:ss.SSS Z"] }

获得"@timestamp" => 2022-08-08T16:48:17.254Z 。 请注意 [@timestamp] 值中的尾随 Z——logstash 中的所有时间戳都存储在 Zulu / UTC 时区中。