如何修正OpenSearch错误识别日志时区导致时间戳加1小时的问题？

OpenSearch默认会将不带时区信息的日志时间戳当作UTC时区解析，进而导致显示时出现一小时偏移（比如你的原始日志时间是2023-02-02 12:47:27,897，会被当作UTC时间处理，最终显示为UTC+1时区的2023-02-02 13:47:27,897）。以下是几种可行的解决方式：

1. 修改索引字段的时区映射 #

如果是通过索引模板定义日期字段，直接在date类型的映射里指定日志的原始时区。比如你的日志实际属于UTC+1时区（对应城市时区如Europe/Paris），配置示例如下：

{
  "mappings": {
    "properties": {
      "@timestamp": {
        "type": "date",
        "format": "yyyy-MM-dd HH:mm:ss,SSS",
        "time_zone": "Europe/Paris" // 替换为日志实际所属的时区
      }
    }
  }
}

配置后，OpenSearch解析时间戳时会使用指定的时区，不再默认按UTC处理。

2. 用Ingest Pipeline处理时区转换 #

如果需要在数据摄入阶段修正时区，可以创建一个Ingest Pipeline，通过date处理器明确指定原始时区：

PUT _ingest/pipeline/fix-timestamp-shift
{
  "processors": [
    {
      "date": {
        "field": "log_timestamp", // 替换为日志中存储时间戳的字段名
        "target_field": "@timestamp",
        "formats": ["yyyy-MM-dd HH:mm:ss,SSS"],
        "timezone": "Europe/Paris" // 日志的原始时区
      }
    }
  ]
}

创建完成后，在写入数据时指定该Pipeline，或者将其设置为目标索引的默认Pipeline，确保所有写入的日志都会被正确处理。

3. 调整OpenSearch Dashboards的显示时区 #

如果OpenSearch存储的时间是正确的，但Dashboards展示时出现偏移，需要修改Dashboards的时区设置：

• 进入Stack Management > Advanced Settings
• 找到timezone选项，将默认的browser或utc改为你需要的时区（比如Europe/Paris）

注意：如果日志本身没有携带时区信息，OpenSearch一定会默认按UTC解析，所以必须明确指定原始时区才能避免时间偏移问题。

内容的提问来源于stack exchange，提问作者naraghi