Форматирование Grok для пользовательской метки времени

Question

2015-03-13 00:23:37.616 

Я стараюсь использовать grok для форматирования следующего формата даты. Я пробовал:

SYSLOGTIMESTAMP, DATESTAMP_EVENTLOG, DATESTAMP_RFC2822

без успеха. Может ли кто-нибудь пролить свет?

Answer 1

Вы можете упомянуть отметку времени, которую вы указали в Logstash, с шаблоном TIMESTAMP_ISO8601.

filter { 
    grok { 
     match => ["message", "%{TIMESTAMP_ISO8601:timestamp_match}"] 
    } 
} 

Вы можете проверить это на Grok Debugger, введя 2015-03-13 00:23:37.616 и %{TIMESTAMP_ISO8601:timestamp_match}

Вы, вероятно, хотите, чтобы соответствовать в другое имя поля, но это основная идея.

Встроенные узоры можно найти в Logstash documentation или на GitHub.