如何在PLG栈中用日志提取时间戳覆盖Loki集成时间？

你的配置存在几个关键错误，导致提取的时间戳无法覆盖Loki的集成时间，以下是修正后的完整配置及说明：

错误点分析 #

1. 标签与匹配器不匹配：job_name、service标签存在多余空格，match阶段的selector与实际标签值不一致，导致pipeline阶段根本未执行。
2. 正则表达式错误：嵌套了多余的^符号，且时间戳中的.未转义，无法正确匹配日志时间。
3. 时间格式配置错误：你的日志时间格式是YYYY-MM-DD HH:MM:SS.sss（无T分隔符及时区），但配置中使用了RFC3339Nano（对应格式为2006-01-02T15:04:05.999999999Z07:00），格式不匹配导致时间提取失效。
4. 语法错误：labels阶段未正确闭合，且static_configs中存在无效空标签。

修正后的配置 #

scrape_configs:
- job_name: "service-0"
  static_configs:
  - targets:
      - localhost
    labels:
      service: "service-0"
      host: "service-0-xyz.local"
      environment: "dev"
      __path__: /etc/sys.log
  pipeline_stages:
    - match:
        selector: '{service="service-0"}'
        stages:
          - regex:
              # 匹配格式为 "2024-05-20 14:30:45.123" 的时间戳
              expression: '^(?P<timestamp>[0-9]{4}-[0-9]{2}-[0-9]{2} [0-9]{2}:[0-9]{2}:[0-9]{2}\.[0-9]{3})'
          - timestamp:
              source: timestamp
              # 使用Go时间格式字符串匹配日志中的时间格式
              format: "2006-01-02 15:04:05.000"
              # 若日志无时区，可指定默认时区（可选，根据实际情况调整）
              location: "Asia/Shanghai"
          # 可选：将提取的时间戳添加为标签（若需要）
          - labels:
              timestamp: ""

验证方法 #

1. 重启promtail服务，确保配置生效。
2. 在Grafana中查询日志时，查看ingestion_time字段是否已被提取的时间戳覆盖（可通过日志详情查看该字段）。
3. 若仍有问题，可开启promtail的debug日志（启动时添加-log.level=debug），检查pipeline阶段是否正确执行、时间戳是否成功提取。

内容的提问来源于stack exchange，提问作者abdessattarstr