使用logstash中的日期解析日期時出現“_dateparsefailure”

Question

我的日期格式如下

"_messagetime" => "08/08/2022 22:18:17.254 +0530"

我在我的 logstash 中使用日期過濾器

date {
    match => ["_messagetime", "YYYY-MM-dd HH:mm:ss.SSS"]
} 

但我得到

"_dateparsefailure"

誰能建議我的方法可能有什么問題

Answer 1

您的錯誤是由_messagetime字段內容中的“+0530”字符串引起的。

要解決此問題，一種選擇是：

• 在日期插件之前刪除此字符串，您可以使用grok或dissect執行此操作

例如：

filter {
  grok {
    match => { "_messagetime" => "%{DATESTAMP:newdate}%{DATA:trash}" }
  }
}

• 應用相同日期的插件配置，現在必須在新內容上工作，而不會出現“+0530”

Answer 2

日期過濾器必須與字段的整個值匹配。 它不能只解析前綴。 此外，您的日期過濾器具有 YYYY-MM-dd，但您的字段具有 dd/MM/YYYY。

您可以使用解析該字段

date { match => ["_messagetime", "dd/MM/YYYY HH:mm:ss.SSS Z"] }

獲得"@timestamp" => 2022-08-08T16:48:17.254Z 。 請注意 [@timestamp] 值中的尾隨 Z——logstash 中的所有時間戳都存儲在 Zulu / UTC 時區中。