Блог

Итак, у меня в журнале есть два поля: timeLogged , timeQueued все эти поля имеют формат даты: 2014-06-14 19:41:21 0000

Мой вопрос в том, как преобразовать строковое значение даты в дату логарифма? как в @timestamp

С единственной целью преобразования в @timestamp существует специальный фильтр даты

  date {
     match => ["timeLogged","YYYY-MM-dd HH:mm:ss SSSS"]
 }
  

Теперь в вашем случае можно использовать в основном два типа полей, поэтому вам придется немного покопаться, либо использовать фильтр grok для копирования значений в общее поле «log_date», либо попытаться выяснить, может ли фильтр даты принимать несколько аргументов, подобных одной из этих возможностей:

  date {
     match => ["timeLogged","YYYY-MM-dd HH:mm:ss SSSS",
               "timeQueued","YYYY-MM-dd HH:mm:ss SSSS" ]
 }
  

или

  date {
     match => ["timeLogged","YYYY-MM-dd HH:mm:ss SSSS"]
     match => ["timeQueued","YYYY-MM-dd HH:mm:ss SSSS"]
 }
  

Вам решать экспериментировать, я никогда не пробовал сам 😉

этого должно быть достаточно

 date{
    match => [ "timeLogged","ISO8601","YYYY-MM-dd HH:mm:ss" ]
    target => "timeLogged"
    locale => "en"
    }
  

Вы можете попробовать этот фильтр

 filter {
    ruby {
        code => "
            event['timeLogged'] = Time.parse(event['timeLogged'])
            event['timeQueued'] = Time.parse(event['timeQueued'])
        "
    }
}
  

Используйте мощную библиотеку ruby, чтобы делать то, что вам нужно!