本文探讨了在Logstash将数据导入Elasticsearch时遇到的@timestamp时间戳8小时偏差问题。通常，日志的DATETIME字段可能是UTC+8，但在ES内部被视为UTC。Kibana在展示时会根据浏览器时区加8小时。总结来说，Elasticsearch中时间字段以UTC存储，Kibana展示时考虑浏览器时区。
对@timestamp的8小时的问题的解释，请参考http://blog.csdn.net/shan1369678/article/details/51375537 ，解释的很详细。在这里结合我自己的项目，来谈对这个问题的理解。
对ES中的某条日志，有如下两个字段：
和
DATETIME 是日志生成的时间戳，我们并不清楚该日志的来源，故不能确定该日志是否是UTC还是UTC+8。但一般来说，很可能是UTC+8，即是东八区的时间。本例中，该日志的时间就是UTC+8时间。
然后在ES内部，无论是DATETIME还是@timestamp，都被当成了UTC时间。对于Kibana页面查看，ELK是先读取浏览器的当前时区，然后
最低0.47元/天 解锁文章
扫一扫
471
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
