CloudWatch エージェントが /var/log/messages のようなログファイルを処理する際、timestamp_format に年が指定されていない場合の挙動について説明します。

エージェントは、指定されたフォーマットに基づいてログエントリーからタイムスタンプを抽出しますが、年情報が欠けている場合、以下のように処理します：

1. 現在の年を使用：エージェントは、ログエントリーを処理している現在の年を使用します。

2. 年の推測：ログエントリーの日付が未来の日付になる場合（例：12月31日にログを処理していて、ログエントリーが1月1日の場合）、エージェントは次の年を使用します。

3. ログの連続性の維持：エージェントは、ログストリーム内のイベントの時系列順序を維持しようとします。そのため、前のログエントリーより古い日付のエントリーが出現した場合、適切な年を推測して割り当てます。

ただし、この方法には潜在的な問題があります：

• 年が変わる際のログエントリーが正確に処理されない可能性があります。
• 長期間にわたるログファイルの場合、年の推測が不正確になる可能性があります。

より正確なタイムスタンプ管理のためには、可能であれば rsyslog の設定を変更して年も含めたタイムスタンプフォーマットを使用することをお勧めします。それが難しい場合は、CloudWatch エージェントの設定で TimeZone パラメータを明示的に指定することで、より正確な年の推測を助けることができます。

最後に、CloudWatch Logs では、ログイベントのタイムスタンプは UTC で保存され、表示されることに注意してください。ローカルタイムゾーンでの表示が必要な場合は、CloudWatch コンソールの設定で調整できます。
Sources
CloudWatch Logs agent reference - Amazon CloudWatch Logs
OutputLogEvent - Amazon CloudWatch Logs
cloud watch log groups only show utc times | AWS re:Post