我们可以在弹性搜索中使用Unix时间戳作为_timestamp字段

Question

当我们创建基于时间的索引时，elasticsearch / kibana需要一个名为“_timestamp”的字段。

我发现这个字段应该是一个字符串。

但是在我的日志中，Unix时间戳是一个必要的部分。

Answer 1

是的，您可以将unix时间戳存储在Date类型字段中。但请确保使用format epoch_millis作为时间戳（毫秒）和epoch_second表示时间戳（以秒为单位）。

以{秒为单位存储unix时间戳的timestamp字段的映射示例。

PUT my-index
{
  "mappings": {
    "my-type": {
      "properties": {
        "timestamp": {
          "type": "date",
          "format": "epoch_second"
        }
      }
    }
  }
}

您可以找到更多信息here