Logstash Elasticsearch輸出使用來自輸入文件的解析字段

Question

我有很多舊格式drupallogYYYYMMDD，我想扔在logstash中，默認情況下elasticsearch輸出爲今天創建索引。我可以用index: "...."覆蓋它，但是有沒有辦法在logstash conf文件中設置它，以便從上面獲取YYYYMMDD並將其轉換爲命名約定logstash-YYYY-MM-DD？

Answer 1

elasticsearch output的索引選項默認爲「logstash - ％{+ YYYY.MM.dd}」，但如果您喜歡使用連字符，則可以將其更改爲「logstash - ％{+ YYYY-MM-dd}」日期。

插入到所述索引名稱模式中的日期是每個消息（即@timestamp）字段的時間戳。由於@timestamp是UTC，它可能並不完全對應於日誌文件名中的日期，具體取決於您如何命名文件以及您所在的時區。您不應嘗試更改@timestamp字段的時區。其他工具依賴於消息的@timestamp字段與其存儲的索引之間的映射。