1

因此，我试图捕获主机上运行的 docker 容器的输出，但是在开发人员更改为使用 json 作为容器的日志输出之后，我错过了 entrypoint.sh 中发生的容器启动消息. 我可以看到有人在配置文件中添加了一个新的过滤器部分，它非常适合捕获 json 输出，但只有 json 输出。

这是使用的模板：

<source>
  @type forward
  port 24224
  bind 0.0.0.0
  tag GELF_TAG
</source>

<filter GELF_TAG.**>
  @type parser
  key_name log
  reserve_data false
  <parse>
    @type json
  </parse>
</filter>

<match GELF_TAG.**>
  @type copy
  <store>
    @type gelf
    host {{ graylog_server_fqdn }}
    port 12201
    protocol tcp
    flush_interval 5s
  </store>
  <store>
    @type stdout
  </store>
</match>

如何设置配置以便能够在容器启动后捕获 entrypoint.sh 输出和 json 输出？

编辑。

过滤器拒绝发送到 docker 容器标准输出的消息，直到应用程序开始登录 json。

[warn]: #0 dump an error event: error_class=Fluent::Plugin::Parser::ParserError error="pattern not matched with data

因此，我尝试捕获掉入 ERROR 标记的所有内容，并且可以看到丢失的消息，但它们仍然无法使用此配置进行解析：

# Ansible
<source>
  @type forward
  port 24224
  bind 0.0.0.0
  tag GELF_TAG
</source>

<filter GELF_TAG.**>
  @type parser
  emit_invalid_record_to_error true
  key_name log
  reserve_data false
  <parse>
    @type json
  </parse>
</filter>

<match {GELF_TAG.**,@ERROR}>
  @type copy
  <store>
    @type gelf
    host {{ graylog_server_fqdn }}
    port 12201
    protocol tcp
    flush_interval 5s
  </store>
  <store>
    @type stdout
  </store>
</match>
4

2 回答 2

0

安装多格式解析器：

td-agent-gem install fluent-plugin-multi-format-parser -v 1.0.0

# Ansible
<source>
  @type forward
  port 24224
  bind 0.0.0.0
  tag GELF_TAG
</source>

<filter GELF_TAG.**>
  @type parser
  key_name log
  reserve_data false
  <parse>
    @type multi_format
    <pattern>
      format json
      time_key timestamp
    </pattern>
    <pattern>
      format none
    </pattern>
  </parse>
</filter>

<match GELF_TAG.**>
  @type copy
  <store>
    @type gelf
    host {{ graylog_server_fqdn }}
    port 12201
    protocol tcp
    flush_interval 5s
  </store>
  <store>
    @type stdout
  </store>
</match>
于 2020-08-06T22:48:34.407 回答
0

您还可以使用输出插件“rewrite_tag_filter”。使用它，您可以更改不同模式的标签，然后使用解析器/过滤器。

于 2021-10-17T16:33:55.490 回答