如何为时间格式编写grok模式01/27/201509:32:44AM

如何为时间格式写一个grok模式01/27/2015 09:32:44 AM我尝试了%{DATESTAMP:timestamp}但它没有接受AM,任何帮助都非常感谢.

您应该为自己创建一个自定义模式文件.作为描述这里

根据我的经验,在模式文件中,创建此模式

DATESTAMP_12HOUR %{DATESTAMP} (AM|PM)

然后,当您使用grok插件并具体的海关模式目录.

filter{
    grok {
            patterns_dir => "./patterns"
            match => [
                    "message","%{DATETIME_12HOUR:msgTime}"

            ]
    }
}