@searchstamp字段未在elasticsearch中标识

Question

我正在通过rsyslog将一些旧日志推送到elasticsearch。

以下是其中一个日志条目

[START] --- [xx.xx.xx.xx] --- [25/Jun/2017:06:39:54 +0530] --- "Headers: [-, -, -, -, -, -]" --- "POST /infotrack HTTP/1.1" --- 200 --- 0.310 --- "-" --- "Java/1.8.0_121" --- "application/x-www-form-urlencoded" --- "-" --- [END]

日志在弹性搜索中成功，在kibana中可见。

但是@timestamp没有被识别出来。在kibana中添加索引期间，时间字段不显示。

这里有什么问题？

我在其他索引中使用了相同的格式时间戳，并且没有在那里产生任何问题。

Answer 1

您是否通过Logstash索引这些Nginx日志？ 请向我们展示Logstash过滤器配置或您为elasticsearch @timestamp字段指定的映射。

很可能您在Logstash配置或Elasticsearch映射中定义了错误的日期格式，前提是示例25/Jun/2017:06:39:54 +0530似乎不适合任何built in format，因此您可能需要定义{ {3}}