如何配置Loki/Fluent Bit使用ECS Fargate应用日志自带时间戳？

当前Grafana显示的日志时间戳为行首的2024-01-17 13:53:28.080，这是采集工具默认提取的日志输出时间；但你需要的是JSON payload中date字段记录的事件实际发生时间2024-01-17T02:53:28.0588716Z，核心需求是覆盖默认时间戳，改用日志自带的业务时间。

方案1：配置Fluentd使用JSON内的时间戳 #

针对你当前使用的Sidecar模式Fluentd，通过以下配置修改时间戳来源：

关键配置片段 #

<source>
  @type tail
  path /var/log/containers/your-app.log  # 替换为你的应用日志路径
  tag app.fargate
  <parse>
    @type grok
    # 匹配行首时间戳 + 后续JSON内容
    pattern %{TIMESTAMP_ISO8601:log_output_time} %{GREEDYDATA:json_content}
    <filter>
      @type parser
      key_name json_content
      <parse>
        @type json
      </parse>
    </filter>
  </parse>
</source>

<filter app.fargate>
  @type record_transformer
  # 将JSON中的date字段赋值给@timestamp，覆盖默认时间
  <record>
    @timestamp ${record['date']}
  </record>
</filter>

<match app.fargate>
  @type loki
  url https://your-loki-instance-endpoint
  <label>
    job "app-fargate"
    container "your-app-container"
  </label>
  <timestamp>
    field @timestamp
    format "%Y-%m-%dT%H:%M:%S.%NZ"  # 匹配date字段的ISO格式
  </timestamp>
</match>

配置说明 #

1. Grok解析：先拆分日志行的输出时间和JSON内容，再嵌套JSON解析器提取date字段；
2. 时间戳替换：通过record_transformer将date字段值覆盖Fluentd默认的@timestamp；
3. Loki输出绑定：明确指定Loki使用@timestamp作为日志的时间戳字段。

方案2：改用Fluent Bit采集（轻量替代方案） #

如果考虑替换Fluentd为更轻量的Fluent Bit，配置如下：

主配置文件（fluent-bit.conf） #

[SERVICE]
    Flush        1
    Log_Level    info

[INPUT]
    Name         tail
    Path         /var/log/containers/your-app.log
    Tag          app.fargate
    Parser       custom_app_parser  # 关联自定义解析规则

[FILTER]
    Name         modify
    Match        app.fargate
    Rename       date @timestamp  # 将业务时间字段重命名为标准时间戳字段

[OUTPUT]
    Name         loki
    Match        app.fargate
    Host         your-loki-host
    Port         3100
    Labels       job=app-fargate,container=your-app-container
    Timestamp_Key @timestamp  # 指定使用业务时间作为日志时间戳

自定义解析规则（parsers.conf） #

[PARSER]
    Name        custom_app_parser
    Format      regex
    Regex       ^%{TIMESTAMP_ISO8601:log_output_time} %{GREEDYDATA:json_content}$
    [PARSER:json_content]
        Format  json

验证方式 #

配置生效后，在Grafana的Loki探索面板中搜索{job="app-fargate"}，检查日志时间戳是否与JSON内的date字段完全一致（即显示.058结尾的时间值）。

内容的提问来源于stack exchange，提问作者Shalmal