logstash date filter

[xluffy]

Ta có hàm filter cho log 2017-02-22T18:31:03.321

    date {
      locale => "jp"
      timezone => "Asia/Tokyo"
      match => [ "timestamp", "ISO8601" ]
      add_tag => [ "tsmatch" ]
    }

Hàm này LUÔN trả về kết quả là field @timestamp với định dạng là ISO8601, trừ khi cố tình đổi bằng target. Với

• match dùng để định nghĩa field timestamp trong log có định dạng gì, nếu log ko đúng định dạng thì hàng date ko thể parse và trả ra field @timestamp được.
• timezone field này khá là confuse, nhưng thực chất nó chỉ có ý nghĩa nếu log vào không có timezone, ví dụ log 2017-02-22T18:31:03.321, ta không biết timezone của nó là gì, thì như cấu hình trên nó sẽ hiểu log này có timezone là Tokyo và parse ra kết quả là "2017-02-22T09:20:03.321Z". Nếu ta sửa lại timezone là UTC thì kết quả sẽ chính xác như log đầu vào

From document

This is useful in case the time zone cannot be extracted from the value, and is not the platform default.