如何从 kubernetes 应用程序日志中提取字段 - efk 堆栈

Question

我正在使用FluentD(部署为DaemonSet(将k8s应用程序(容器(日志流式传输到elasticsearch。 我想从弹性中的"日志"键字符串中提取特定键，例如 logKey：...或状态代码：.. (在下面的"日志"键内(

请参阅我尝试解析的日志：

我看到我应该使用 FluentD 插件在日志发送到 Elastic 之前解析日志， 但不幸的是，我没有找到一种方法来做到这一点。

这是我当前的配置映射容器部分：

<source>
@type tail
path /var/log/containers/*.log
pos_file /var/log/app.log.pos
tag kubernetes.*
read_from_head true
<parse>
@type json
time_format %Y-%m-%dT%H:%M:%S.%NZ
</parse>
</source>

非常感谢您的帮助。

Answer 1

你尝试这个附加组件吗？
似乎已经设置了流利的配置。
https://github.com/kubernetes/kubernetes/blob/8568d1843daababe70763b30ae897388710b2216/cluster/addons/fluentd-elasticsearch/fluentd-es-configmap.yaml

你的 ConfigMap是否附加到上面的 ConfigMap 中？