如何在Logstash中创建Elasticsearch季度索引？附周索引配置示例

嗨，很高兴帮你搞定这个季度索引的问题！你已经掌握了周索引的配置，那季度索引其实有两种实用的实现方式，我给你详细说说：

方法一：直接用日期格式符快速生成季度 #

Logstash的日期格式化语法自带Q格式符，它会直接返回当前时间对应的自然季度（1-4）。你只需要把周索引配置里的xxxx.ww替换成yyyy.Q就行，示例配置如下：

output {
  elasticsearch {
    hosts => "localhost"
    index => "logstash-%{+yyyy.Q}"
  }
  stdout{}
}

这样生成的索引名会是logstash-2024.1、logstash-2024.2这类清晰的季度格式，简单又省心。

方法二：通过Ruby过滤器自定义计算季度（更灵活） #

如果你需要先提取月份再计算季度，或者有业务自定义的季度规则，可以用Logstash的ruby过滤器来实现，步骤如下：

1. 在filter阶段添加ruby代码，从@timestamp中提取月份，计算对应季度后存入@metadata字段（用@metadata不会把这个辅助字段写入ES，更高效）：

filter {
  ruby {
    code => '
      # 从@timestamp获取月份（范围1-12）
      month = event.get("[@timestamp]").month
      # 经典的季度计算逻辑：(月份 + 2) 整除 3
      quarter = (month + 2) / 3
      # 将季度转为字符串后存入@metadata，方便后续调用
      event.set("[@metadata][quarter]", quarter.to_s)
    '
  }
}

2. 然后在output阶段的elasticsearch配置里，直接引用这个自定义的季度字段：

output {
  elasticsearch {
    hosts => "localhost"
    index => "logstash-%{+yyyy}.%{[@metadata][quarter]}"
  }
  stdout{}
}

这种方法的优势是可以灵活调整季度规则，比如你的业务季度和自然季度不一致时，直接修改ruby代码里的计算逻辑就行。

内容的提问来源于stack exchange，提问作者Dilip