logstash設定内のタイムスタンプに基づいてelasticsearchのログをインデックスする方法は？

Question

私は単一のログファイルを持っており、タイムスタンプ（例えば、gt> 24th oct）に基づいてelasticsearchにログを索引付けしたいと考えています。このためにlogstashを設定するにはどうすればよいですか？ ignore_olderフィールドは複数のファイル用ですので使用できません。

Answer 1

このようなことを達成するにはいくつかの方法があります。最も簡単な方法は、日付の表現方法によって異なります。たとえば、ファイル内の日付はYYYY-MM-DD形式の場合、あなたはこのような文字列比較を行うことができます。そうでない場合は

if ([timestamp] < '2015-01-01') { 
      drop {} 
    } 

、あなたの最善の策は、@timestampで新しいフィールドを追加することです文字列として。 GMTになることに注意してください

mutate { 
      add_field => [ "mydate", "%{@timestamp}"] 
    } 
    if ([mydate] < '2015-01-01') { 
      drop {} 
    } 
    mutate { 
      remove_field => ["mydate"] 
    }