Question

我正在从fluent-amqp插件发送日志，该插件添加了带有格式时期的字段timestamp，例如：

{
  "key": "somekey",
  "timestamp": 1547769614,
  "payload": {
    "log": "some logs",
    "stream": "stdout"
  }
}

但是，我无法在Kibana的时间选择器中选择时间戳记字段以将其设置为_time。我尝试从名为 timestamp 和 _timestamp 的设置中添加 metaField ，即使我可以选择它作为时间选择器，也没有成功，没有在搜索页面中解释它，从而导致日志为空。

是否有要添加的模板？要打勾的设置？还是应该直接更新上游插件？我正在使用6.5.4版。

Answer 1

我建议创建一个index template，该索引将用于您的工作人员将来创建的所有索引。

PUT _template/my-index-template
{
  "index-patterns": ["myindex*"],          <--- replace your real index name/pattern here
  "mappings": {
    "-": {
      "properties": {
        "key": {
          "type": "text",
          "fields": {
            "keyword": {
              "type": "keyword",
              "ignore_above": 256
            }
          }
        },
        "payload": {
          "properties": {}
        },
        "timestamp": {
          "type": "date"                   <-- this is what changed
        }
      }
    }
  }
}

Answer 2

我决定派出ruby插件，并将纪元时间转换为Elasticsearch可读的时间格式，例如："2019-01-21T01:18:39+00:00"。它运行良好，我可以在Kibana接过该领域。

Kibana没有选择时间戳格式的纪元

2 个答案: