logstash - 转换日期 MMM dd HH :mm:ss for logstash

Question

我有一个自定义格式的日志文件，日期字段如下所示:

Dec  4 23:59:21
Nov 21 23:59:21

在我的 logstash 配置中，我有这个过滤器:

date {
    type => "custom"
    # tell it the format
    custom_timestamp => ["MMM  d HH:mm:ss", "MMM dd HH:mm:ss"]
    # locale didn't help
    locale => "en"
}
mutate{
    type => "custom"
    # replace the timestamp
    replace => ["@timestamp", "%{custom_timestamp}"]
}

据推测，它用日志中的自定义时间戳替换了 logstash 时间戳(我目前正在从旧日志中回填它以进行测试)。

如果我打开调试标志并输出到标准输出，它会显示 @timestamp 已替换为 custom_timestamp 但我收到一条错误消息告诉我它无法导入:

:exception=>java.lang.IllegalArgumentException: Invalid format: "Dec  4 23:59:21"

我需要做什么来转换日期格式？

Answer 1

原来我使用的样本是错误的。您不需要 mutate 替换，现在的配置是这样的:

date {
    type => "custom"
    # tell it the format
    custom_timestamp => ["MMM  d HH:mm:ss", "MMM dd HH:mm:ss"]
    # date format is english, computer might not be
    locale => "en"
}
mutate{
    type => "custom"
    #other mutations go here
}