日期模式在logstash中無法按預期工作

Question

我正在嘗試使用以下日期過濾器將字符串轉換為日期，但它似乎不起作用。

示例輸入數據（字符串）- 2020 年 1 月 20 日星期一 09:20:35 GMT

我首先使用 mutate gsub 刪除呈現以下字符串輸出的 GMT - Mon Jan 20 09:20:35 2020

我的 gsub mutate 過濾器看起來像這樣 -

mutate { gsub => [ "TimeStamp", "GMT", "" ] }

現在，我正在使用日期過濾器將 gsub 輸出轉換為日期格式，但它似乎不起作用-

date {
match => [ "TimeStamp", "EEE MMM dd HH:mm:ss  yyyy" ]
target => "TimeStamp"
locale => "en"
}

我也試過跟隨但沒有成功-

date {
match => [ "TimeStamp", "EEE\sMMM\sdd\sHH:mm:ss\s+yyyy" ]
target => "TimeStamp"
timezone => "Etc/GMT"
locale => "en"
}

Answer 1

日期模式應該是

MMM dd HH:mm:ss yyyy

也許您必須在年份之前添加一些額外的空格（看起來您的日志中有它們）。

您需要使用 MMM（縮寫的月份名稱）而不是 EEE（工作日名稱縮寫）。