Logstash Elasticsearch输出使用来自输入文件的解析字段

Question

我有很多旧格式drupallogYYYYMMDD，我想扔在logstash中，默认情况下elasticsearch输出为今天创建索引。我可以用index: "...."覆盖它，但是有没有办法在logstash conf文件中设置它，以便从上面获取YYYYMMDD并将其转换为命名约定logstash-YYYY-MM-DD？

Answer 1

elasticsearch output的索引选项默认为“logstash - ％{+ YYYY.MM.dd}”，但如果您喜欢使用连字符，则可以将其更改为“logstash - ％{+ YYYY-MM-dd}”日期。

插入到所述索引名称模式中的日期是每个消息（即@timestamp）字段的时间戳。由于@timestamp是UTC，它可能并不完全对应于日志文件名中的日期，具体取决于您如何命名文件以及您所在的时区。您不应尝试更改@timestamp字段的时区。其他工具依赖于消息的@timestamp字段与其存储的索引之间的映射。