Logstash Elasticsearch輸出使用輸入文件中的已解析字段

Question

我有很多舊的日志文件，格式為drupallogYYYYMMDD ，我想在logstash中拋出，默認情況下，elasticsearch輸出為今天創建索引。 我可以使用index: "...."覆蓋它index: "...."但是有沒有辦法在logstash conf文件中設置它，所以從上面獲取YYYYMMDD並將其轉換為命名約定logstash-YYYY-MM-DD ？

Answer 1

elasticsearch 輸出的索引選項默認為“logstash - ％{+ YYYY.MM.dd}”，但如果您喜歡日期中的連字符，則可以將其更改為“logstash - ％{+ YYYY-MM-dd}”。

插入到所述索引名稱模式中的日期是每個消息（即@timestamp）字段的時間戳。 由於@timestamp是UTC，因此可能與日志文件名中的日期不完全對應，具體取決於您為文件命名的方式以及您所在的時區。您不應嘗試更改@timestamp字段的時區。 其他工具依賴於消息的@timestamp字段與其存儲的索引之間的映射。