问题一、时区问题

---

title: 问题一、时区问题
date: 2020-4-15 21:20:39
categories: elk

---

将生产日志时间替换@timestamp

之前一直使用自带的时间戳，因为之前切割没有提取日志文件中的时间也就是如
2020-03-14 08:00:00.000||DEBUG|com.cq.test.core.executor.VisibleThreadPoolTaskExecutor|18|showThreadPoolInfo|async-service-, 2. do submit,taskCount [679372], completedTaskCount [679371], activeCount [1], queueSize [0]
这种2020-03-14时间。
这次使用grok+mapping提取出来作为一个单独的字段time。

1、发现问题：

查询索引test-2020.03.14

[图片上传失败...(image-1e8fc9-1614773555418)]
time 和@timestamp不一致如图：

这两个时间正好差8个小时，开始我怀疑是我转化time的时候转化时区错了

2、kibana显示

再次回到kibana，我们查询是使用kibana这个工具的，于是尝试设置kibana的时区，一般两个选项，一个是国际时间UTC，一个是北京时间一般可以去Asia/ShangHai.还有个选项是browser，也就是跟随浏览器:
将日志展开：

[图片上传失败...(image-c704b5-1614773555418)]

由上可以看到问题来了：

1. 我们当天的索引日志是从国际时间的0点开始，也就是我们中国时区的8点！！
2. 我们转化时间也出了问题，本来是北京时间08:00转变成了国际时间08:00，

根本原因是：

1. 对于第一条logstash将我们的日志内容和处理时间都用UTC时间来处理了，也就是创建索引使用了自带的时间

   output{
       elasticsearch{
           hosts => ["xxx.xxx.xxx.xx:9200"]
           index => "test-%{+YYYY.MM.dd}"
           codec=rubydebug
       }
   }
   

   那么它就会将我们北京时区8点以前的日志放在前一天的索引，如2020.14 07：00 -> 2020.13 23:00

2. 对于第二点，我们将string字段转化为date字段时（如下图是mapping的配置），elasticsearch会以默认方式UTC来处理，因此变成了utc时间。

   "time"{
       "type": "date",
       "format": "yyyy-MM-dd HH:mm:ss.SSS"
   }
   

3、解决方法

1、使用logstash提供的date插件
插件介绍

image.png

将上面描述翻译一下就是
日期过滤器用于解析字段中的日期，然后使用该日期或时间戳作为事件的logstash时间戳。
大概的意思就是我们可以自己来使用文本中的时间设置时间戳。
在conf文件中加入data的插件：

date {
    match => ["time","yyyy-MM-dd HH:mm:ss.SSS"]
}

上面其实还有很多配置，如target，默认是@timestamp，所以可以替换时间戳
再看结果，自定义字段已经正常转化时间与实际能对上。（后面我们把这个time替换默认的@timestamp）

时间一致

2、使用自定义字段来替换索引中默认日志adc-%{+YYYY.MM.dd}
完整解决方案如下：

filter {
  json {
    source => "message"
    remove_field => ["agent","ecs","input","kubernetes.pod","kubernetes.replicaset","log","stream","tags","@version"]
}
  grok {
    patterns_dir => ["/software/logstash/config/my_patterns"]
    match =>{"message"=> "%{index_date:indexdate} %{MYSELFTIMESTAMP:time} %{LOGLEVEL:level}\s?-\***%{TRACEID:traceId}\***- %{THREAD:threadId} %{LOGGER:logger} - %{INFO:info}"} ## 使用自定义模板，这里我们拆分成indexdate和time是为了后面使用我们自己的日期作为索引，当然可能有更优的解决方案
    add_field =>{"timeDate"=> "%{indexdate} %{time}" }  # 将日期和时间拼接
  }
  date {
    match => ["timeDate","yyyy-MM-dd HH:mm:ss.SSS"]  #将我们的时间戳替换event的
  }
}

output{
    elasticsearch{
   hosts => ["xxx:xxx:xx:9092"]
   index => "test-%{indexdate}" #使用如上定义的字段
   codec=>rubydebug
   template_name => "test-template"
   template => "/software/logstash/config/test-template.json"
   template_overwrite => true
}

其中 my_patterns配置如下：

INFO [\s\S]*
TRACEID [a-zA-Z0-9._-]*
THREAD \[.*\]
LOGGER [a-zA-Z\.]*
index_date 20\d\d-\d\d-\d\d
MYSELFTIMESTAMP \d\d:\d\d:\d\d\.\d\d\d

Tips:

1. 更新pattern并不会使logstash重新加载，只有修改.conf文件才会
2. pattern 必须要加字段才能在logstash中生成