Kibana 不选择时间戳格式纪元

Question

我正在从 fluent-amqp 插件发送日志，该插件添加了一个字段 timestamp，格式为 epoch，例如：

{
  "key": "somekey",
  "timestamp": 1547769614,
  "payload": {
    "log": "some logs",
    "stream": "stdout"
  }
}

但是，我无法在 Kibana 的时间选择器中选择时间戳字段以将其设置为 _time。我试图从名为 timestamp 和 _timestamp 的设置中添加 metaField 但没有成功，即使我可以选择它作为时间选择器，它不会在搜索页面中被解释，导致空日志。

是否有要添加的模板？要勾选的设置？或者我应该直接更新上游插件？我使用的是 6.5.4 版本。

Answer 1

我建议创建一个 index template，它将用于您的工作人员将来创建的所有索引。

PUT _template/my-index-template
{
  "index-patterns": ["myindex*"],          <--- replace your real index name/pattern here
  "mappings": {
    "-": {
      "properties": {
        "key": {
          "type": "text",
          "fields": {
            "keyword": {
              "type": "keyword",
              "ignore_above": 256
            }
          }
        },
        "payload": {
          "properties": {}
        },
        "timestamp": {
          "type": "date"                   <-- this is what changed
        }
      }
    }
  }
}

Answer 2

我决定分叉 ruby 插件并将纪元时间转换为 Elasticsearch 可读时间格式，例如："2019-01-21T01:18:39+00:00"。它运行良好，我可以在 Kibana 中选择该字段。

Kibana 不选择时间戳格式纪元

Kibana does not pick timestamp format epoch

elasticsearch

kibana

kibana-6