如何手动设置 Splunk 日志的时间戳？答案

【问题标题】：How to manually set timestamp for Splunk logs?如何手动设置 Splunk 日志的时间戳？
【发布时间】：2019-08-20 19:50:43
【问题描述】：

我有一个充满日志的数据库表，我想通过执行查询以获取一组日志，然后对其进行迭代并在每个日志上运行 console.log() 来将其上传到 Splunk。这几乎可以正常工作，但是 Splunk 为每个日志获取的时间戳是基于我运行上传脚本的任何时间。

有什么方法可以转换我的日志对象，以便 Splunk 使用我提供的时间戳？例如，我的一个日志可能如下所示：

{
  id: 2910432221,
  log_timestamp: 2019-08-07T19:04:03.000Z,
  userId: 2331,
  actionId: 45
}

理想情况下，我将能够运行类似这样的程序，并让 splunk_timestamp 的值出现在 Splunk 仪表板的 Time 列中。

console.log({
 id: 2910432221,
 splunk_timestamp: 2019-08-07T19:04:03.000Z,
 userId: 2331,
 actionId: 45
})

这样的事情可能吗？

【问题讨论】：

【解决方案1】：

Splunk 将尝试通过选择遇到的第一个匹配 TIME_FORMAT 的字段来自动识别 _time 值。您可以在 props.conf 中覆盖它。

我相信您的问题出在 json 对象中：您传递给 console.log 的内容不是有效的 json 对象。字段名称和值应正确引用。

{
 "id": 2910432221,
 "splunk_timestamp": "2019-08-07T19:04:03.000Z",
 "userId": 2331,
 "actionId": 45
}

【讨论】：