在弹性搜索中未识别 @timestamp 字段

Question

我正在通过 rsyslog 将一些旧日志推送到 elasticsearch。

这是其中一个日志条目，

[START] --- [xx.xx.xx.xx] --- [25/Jun/2017:06:39:54 +0530] --- "Headers: [-, -, -, -, -, -]" --- "POST /infotrack HTTP/1.1" --- 200 --- 0.310 --- "-" --- "Java/1.8.0_121" --- "application/x-www-form-urlencoded" --- "-" --- [END]

日志在elasticsearch中成功，在kibana中可见。

但是@timestamp 没有被识别。在kibana中添加索引时，时间字段不显示。

这里有什么问题？

我在其他索引中使用了相同格式的时间戳，它在那里没有产生任何问题。

Answer 1

您是否通过 Logstash 索引那些 Nginx 日志？ 请向我们展示您为 elasticsearch @timestamp 字段指定的 Logstash 过滤器配置或映射。

您很可能在 Logstash conf 或 Elasticsearch 映射中定义了错误的日期格式，前提是示例 25/Jun/2017:06:39:54 +0530 似乎不适合任何 built in format，因此您可能必须定义 custom one。