kubernetes - 如何以排序方式使用日志扩展flunetd中的键（最新日志应该在顶部）

Question

我正在使用 EFK 堆栈。

我的flunetd配置是：

<parse>
    @type multi_format
    <pattern>
      format json
      time_key time
      time_type string
      time_format "%Y-%m-%dT%H:%M:%S.%NZ"
      keep_time_key true
    </pattern>
    <pattern>
      format regexp
      expression /^(?<time>.+) (?<stream>stdout|stderr)( (.))? (?<log>.*)$/
      time_format '%Y-%m-%dT%H:%M:%S.%NZ'
      keep_time_key true
    </pattern>
  </parse>
  emit_unmatched_lines true
</source>

Kibana 中的日志：

我的要求是它应该显示如下：

log.level info
log.ts    2022-02-28T17:51:16.483554867Z

等等。

此外，未对日志进行排序意味着为了方便起见，最新的日志位于底部，需要在 Kibana 中位于顶部。

Answer 1

您需要使用 JSON 解析器解析日志属性，例如

<filter **>
  @type parser
  key_name log
  format json
  reserve_data true
</filter>