Question

我的文件包含一系列此类消息：

component+branch.job                                 2014-09-04_21:24:46   2014-09-04_21:24:49

它是字符串，一些空格，第一个日期和时间，一些空格和第二个日期和时间。目前我正在使用这样的过滤器：

filter {
  grok {
    match => [ "message", "%{WORD:componentName}\+%{WORD:branchName}\.%{WORD:jobType}\s+20%{DATE:dateStart}_%{TIME:timeStart}\s+20%{DATE:dateStop}_%{TIME:timeStop}" ]
  }
}

我想将dateStart和timeStart转换为该消息的@timestamp。

我发现有date过滤器，但我不知道如何在两个单独的字段中使用它。

我也尝试过像filter这样的东西：

  date {
    match => [ "message", "YYYY-MM-dd_HH:mm:ss" ]
  }

但它没有按预期工作。

Answer 1

根据MagnusBäck建议的重复，我为我的问题创建了解决方案。解决方案是将解析后的数据变为一个字段：

mutate {
  add_field => {"tmp_start_timestamp" => "20%{dateStart}_%{timeStart}"}
}

然后按我在问题中的建议解析它。

所以最终解决方案如下：

filter {
  grok {
    match => [ "message", "%{WORD:componentName}\+%{WORD:branchName}\.%{DATA:jobType}\s+20%{DATE:dateStart}_%{TIME:timeStart}\s+20%{DATE:dateStop}_%{TIME:timeStop}" ]
  }
  mutate {
    add_field => {"tmp_start_timestamp" => "20%{dateStart}_%{timeStart}"}
  }
  date {
    match => [ "tmp_start_timestamp", "YYYY-MM-dd_HH:mm:ss" ]
  }
}

logstash从解析的消息生成@timestamp

1 个答案: