elasticsearch - 将摄取的日期添加到Logstash事件

Question

Logstash正确解析了我的事件的事件时间(@timestamp)。但是，我也想知道ELK提取事件的日期。

我知道 date 可以很好地提取时间戳。但是，我不知道怎么说“将当前时间放入任意字段”。

我正在执行以下操作，但是必须有更好的方法。

 ruby {
   code => "event['ingest_time'] = Time.now.utc.strftime '%FT%TZ'"
 }

Answer 1

对于Logstash 5.x或更高版本，您需要使用以下命令:

  ruby {
   code => "event.set('logstash_time' , Time.now.utc.strftime('%FT%TZ'))"
  }

如果您的数据中没有时间戳，则可以使用以下行，因为logstash如果缺少则添加一个

add_field => [ "received_at", "%{@timestamp}" ]

但是，如果您已经拥有一个，则无法使用此方法。请注意，如果您稍后使用 date {}设置时间戳，则在此之前可以这样做……

使用第一个时我没有发现任何性能问题，并且一直都能正常工作，因此建议使用一个