Filebeat 采集 k8s Pod 和 Events 日志实战操作

news2025/1/24 14:56:03

文章目录

    • 一、概述
      • 1）采集 Pod 日志流程介绍
      • 3）采集 Events 日志流程介绍
    • 二、K8s 集群部署
    • 三、ElasticSearch 和 kibana 环境部署
    • 四、Filebeat 采集配置
      • 1）采集 Pod 日志配置
      • 2）采集 Events 日志配置
        • 1、创建 filebeat 授权 token
        • 2、filebeat 配置

一、概述

要使用 Filebeat 采集 Kubernetes 中的 Pod 和 Events 日志，您需要配置Filebeat 以适应这两种类型的数据。以下是详细说明：

在这里插入图片描述

1）采集 Pod 日志流程介绍

Pod 日志是容器内产生的日志数据。Filebeat 可以监控这些日志并将它们发送到中央存储或分析系统。下面是如何配置 Filebeat 来采集 Pod 日志：

1、配置输入模块:

使用Filebeat的输入模块配置，选择 type: container。这告诉Filebeat应该监控容器的标准输出和日志文件。

filebeat.inputs:
- type: container
  paths:
    - /var/log/containers/*.log
  processors:
  - add_kubernetes_metadata:
      in_cluster: true

这个配置指定 Filebeat 监控容器的日志文件，同时使用add_kubernetes_metadata处理器添加 Kubernetes 元数据，以便在日志中包含有关 Pod 和容器的信息。

2、指定输出目标:
配置Filebeat的输出目标，通常是 Elasticsearch 或 Logstash ，以将采集到的Pod日志发送到中央存储。

output.elasticsearch:
  hosts: ["elasticsearch:9200"]

这个示例配置指定将日志发送到Elasticsearch集群。

3）采集 Events 日志流程介绍

Kubernetes Events 日志记录了集群中发生的事件，如 Pod 的创建、删除、调度等。Filebeat 可以监控这些事件日志并将其发送到相同或不同的目标位置。以下是如何配置 Filebeat 来采集 Kubernetes Events 日志：

1、配置输入模块:

使用Filebeat的输入模块配置，选择type: kubernetes。这告诉Filebeat应该监控Kubernetes Events。

filebeat.inputs:
- type: kubernetes
  include_events: [".*"]

这个配置指定 Filebeat 监控所有类型的事件。您可以根据需求过滤特定类型的事件。

2、指定输出目标:
配置 Filebeat 的输出目标，通常是 Elasticsearch 或 Logstash ，以将采集到的 Events 日志发送到中央存储。

output.elasticsearch:
  hosts: ["elasticsearch:9200"]

这个示例配置指定将事件日志发送到 Elasticsearch 集群。

二、K8s 集群部署

k8s 环境安装之前写过很多文档，可以参考我以下几篇文章：

  • 【云原生】k8s 离线部署讲解和实战操作
  • 【云原生】k8s 环境快速部署（一小时以内部署完）

三、ElasticSearch 和 kibana 环境部署

虚拟机部署非常简单，开箱即用的，这里选择更加快捷的部署方式，k8s 部署，可以参考我这篇文章：ElasticSearch+Kibana on K8s 讲解与实战操作（版本7.17.3）

git clone https://gitee.com/hadoop-bigdata/elasticsearch-kibana-on-k8s.git

cd elasticsearch-kibana-on-k8s

### 1、开始部署elasticsearch
# 如果没有挂载目录，则需要提前创建，也可自己更换挂载目录
# 先创建本地存储目录
mkdir -p /opt/bigdata/servers/elasticsearch/data/data1
chmod -R 777 /opt/bigdata/servers/elasticsearch/data/data1

helm install my-elasticsearch ./elasticsearch -n elasticsearch --create-namespace
# 查看
helm get notes my-elasticsearch -n elasticsearch
kubectl get pods,svc -n elasticsearch -owide

# 查看日志
kubectl logs -f elasticsearch-master-0 -n elasticsearch


# 测试验证
curl http://192.168.182.110:30920/
curl http://192.168.182.110:30920/_cat/nodes
curl http://192.168.182.110:30920/_cat/health?pretty

### 2、开始部署kibana
# 先创建本地存储目录
mkdir -p /opt/bigdata/servers/kibana/data/data1
chmod -R 777 /opt/bigdata/servers/kibana/data/data1

helm install my-kibana ./kibana -n kibana --create-namespace
# 查看
helm get notes my-kibana -n kibana 
kubectl get pods,svc -n kibana -owide

四、Filebeat 采集配置

filebeat 的介绍可以参考我这篇文章：轻量级的日志采集组件 Filebeat 讲解与实战操作

1）采集 Pod 日志配置

filebeat.yaml 示例配置如下：

filebeat.inputs:
- type: container
  enabled: true
  paths:
    - /var/log/containers/*.log
  fields:
    app: myapp
    env: production
    index: k8s-pod-log
processors:
  - add_fields:
      fields:
        app: myapp
        env: production
  - drop_fields:
      fields: ["sensitive_data"]
  - add_kubernetes_metadata:
      in_cluster: true

output.elasticsearch:
  hosts: ["192.168.182.110:30920"]
  index: "filebeat-%{[fields][index]}-%{+yyyy.MM.dd}"

setup.template.name: "default@template"
setup.template.pattern: "filebeat-k8s-*"
setup.ilm.enabled: false

主要参数讲解：

  • 上述配置中，Filebeat的输入模块是container，它监视容器的日志文件，然后使用 add_kubernetes_metadata 处理器添加 Kubernetes 元数据，需要设置 in_cluster 为 true。日志将被发送到Elasticsearch。
  • setup.template.name 是 Filebeat 配置中的一个选项，用于设置为 Elasticsearch 索引模板的名称。索引模板定义了 Elasticsearch 中索引的结构，包括字段映射和设置。
  • setup.template.pattern 是 Filebeat 配置中的一个选项，用于设置 Elasticsearch 索引模板的模式（pattern）。
  • setup.ilm.enabled 是 Filebeat 配置中的一个选项，用于启用或禁用索引生命周期管理（Index Lifecycle Management，ILM）。ILM 是 Elasticsearch 的功能，用于自动管理索引的生命周期，包括索引的创建、滚动、删除等操作。

2）采集 Events 日志配置

【温馨提示】Kubernetes (k8s) 事件（Events）日志通常存储在 Kubernetes 集群的 etcd 存储中，默认情况下，事件数据在 Kubernetes 集群 ETCD 中保存 1 小时。

修改 kube-apiserver 的配置文件（/etc/kubernetes/manifests/kube-apiserver.yaml）可以调整 events 日志保留时长，并为 --event-ttl参数设置新的值。

因为 events 日志不存在文件存储，所以这里使用 k8s api 接口采集方式，当然也可以通过 kubectl get events -A -w 采集。

1、创建 filebeat 授权 token

filebeat-serviceaccount.yaml

apiVersion: v1
kind: ServiceAccount
metadata:
  name: filebeat-service-account

---

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: filebeat-role
rules:
- apiGroups:
  - ""
  resources:
  - events
  verbs:
  - get
  - list
  - watch

---

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: filebeat-role-binding
subjects:
- kind: ServiceAccount
  name: filebeat-service-account
  namespace: default
roleRef:
  kind: ClusterRole
  name: filebeat-role
  apiGroup: rbac.authorization.k8s.io


# 创建用户和角色
kubectl apply -f filebeat-service-account.yaml

获取 ServiceAccount 令牌：

kubectl get secret $(kubectl get serviceaccount filebeat-service-account -o jsonpath='{.secrets[0].name}') -o jsonpath='{.data.token}' | base64 -d

测试一下。

TOKEN=`kubectl get secret $(kubectl get serviceaccount filebeat-service-account -o jsonpath='{.secrets[0].name}') -o jsonpath='{.data.token}' | base64 -d`
echo $TOKEN

curl -ks --header "Authorization: Bearer $TOKEN" https://192.168.182.110:6443/api/v1/events?watch=true

# 也可以通过ca证书这样访问
curl --cacert "/etc/kubernetes/pki/ca.crt" --header "Authorization: Bearer $TOKEN"  https://192.168.182.110:6443/api/v1/events?watch=true

在这里插入图片描述

2、filebeat 配置

filebeat.yaml 示例配置如下：

filebeat.inputs:
- type: httpjson
  enabled: true
  name: k8s-events
  url: "https://192.168.182.110:6443/api/v1/events?watch=true"
  http_method: "GET"
  ssl.certificate_authorities: ["/etc/kubernetes/pki/ca.crt"]
  #ssl.verification_mode: none
  json.keys_under_root: true
  interval: 10s
  fields:
    type: k8s-events
    index: k8s-event-log
  #paths:
  #  - "/"
  #headers:
  #  Authorization: "Bearer eyJhbGciOiJSUzI1NiIsImtpZCI6Ilh0Y2k0a1NOdXIyZnRNTUE2STZ5TEtqcnBRMkpOcDh4UHFOZzlMeW9UQXcifQ.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.j3qmbs3n45xpWUHMyviHsmsGLQOhH6gz6FtkPKLDr-1D4m4paOivoS1Coy7pdlC5J40YNQeEwrHA9L7Hy1UQ-02Y98rrHn0O_oOxE4qR06-bmua7j3lAEWHCRrmmsmk9HGkPar1HxIERn6BNwRyWeQdHc6CvnCbwqvBBnpYuZ7lcO1agbZZ3E02MUwNN1ZG2n_dWi9dnRJGuc9Capm50AZzolo8k8frK5nLs8T5GxDI4bMC7Gbq6FaL8RVI_DVJpm7zGFJrtzPwhVFnqCAdMFeQbRIzpmWseSA-GHH4WQ3JpLdkvzUZr8jhZ6jMSCE6u8UGO2AeEjBElZpzpwVk4cg"

logging.level: debug

output.elasticsearch:
  hosts: ["192.168.182.110:30920"]
  index: "filebeat-%{[fields][index]}-%{+yyyy.MM.dd}"

setup.template.name: "default@template"
setup.template.pattern: "filebeat-k8s-*"
setup.ilm.enabled: false

【温馨提示】也可以把header打开，并设置 ssl.verification_mode: none。正对应下面的两种curl方式：

TOKEN=`kubectl get secret $(kubectl get serviceaccount filebeat-service-account -o jsonpath='{.secrets[0].name}') -o jsonpath='{.data.token}' | base64 -d`
echo $TOKEN

curl -ks --header "Authorization: Bearer $TOKEN" https://192.168.182.110:6443/api/v1/events?watch=true

# 也可以通过ca证书这样访问
curl --cacert "/etc/kubernetes/pki/ca.crt" --header "Authorization: Bearer $TOKEN"  https://192.168.182.110:6443/api/v1/events?watch=true

字段解释：

  • json.keys_under_root：默认情况下（json.keys_under_root 为 false），Filebeat 将在 Elasticsearch 中创建一个名为 “json” 的字段，包含整个 JSON 数据。如果将 json.keys_under_root 设置为 true，则 Filebeat 将直接在 Elasticsearch 中创建 “log”、“message” 和 “level” 这些字段，使它们成为根级别字段。
  • setup.template.name 是 Filebeat 配置中的一个选项，用于设置为 Elasticsearch 索引模板的名称。索引模板定义了 Elasticsearch 中索引的结构，包括字段映射和设置。
  • setup.template.pattern 是 Filebeat 配置中的一个选项，用于设置 Elasticsearch 索引模板的模式（pattern）。
  • setup.ilm.enabled 是 Filebeat 配置中的一个选项，用于启用或禁用索引生命周期管理（Index Lifecycle Management，ILM）。ILM 是 Elasticsearch 的功能，用于自动管理索引的生命周期，包括索引的创建、滚动、删除等操作。

【温馨提示】注意版本，低版本的是不支持httpjson的，这里我选择的是这个7.17.14版本，https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.17.14-linux-x86_64.tar.gz

查看ES 索引是否正常采集（索引会自动创建）

curl http://192.168.182.110:30920/_cat/indices

在这里插入图片描述
这里只是为了讲述如何采集 pod 和 Events 日志，一般不会直接采集到 ES，而是会通过 kafka中间件作为缓冲，这样可以避免大数据量导致 ES 压力过大。生成环境的采集架构图如下（后面也会讲解）：

在这里插入图片描述

Filebeat 采集 k8s Pod 和 Events 日志实战操作讲解就先到这里了，有任何疑问也可关注我公众号：大数据与云原生技术分享，进行技术交流，如本篇文章对您有所帮助，麻烦帮忙一键三连（点赞、转发、收藏）~

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1094518.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

网络 | 排错五大步骤，没有解决不了的网络故障准达信息准达信息

网络 | 排错五大步骤，没有解决不了的网络故障准达信息准达信息

网络故障是我们工作中最易常见的问题，那么如何才能进行网络排查，快速解决问题呢？ 一、网络排错五大基本步骤与命令 五大基本思路如下： （1）检查物理链路是否有问题； （2）…
阅读更多...
【总结】两个独立同分布的随机变量相加还是原来的分布吗？

【总结】两个独立同分布的随机变量相加还是原来的分布吗？

二项分布，泊松分布，正态分布，卡方分布，具有独立可加性。 图源自没咋了，面哥课程。
阅读更多...
【软考】9.3 二叉树存储/遍历/线索/最优/查找/平衡

【软考】9.3 二叉树存储/遍历/线索/最优/查找/平衡

《树与二叉树》 二叉树的顺序存储结构 顺序存储只适用于完全二叉树和满二叉树，一般二叉树不适用i 2 的左孩子为 2i 4，右孩子为 2i 1 5 二叉树的链式存储结构 链式存储适用于二叉树；空结点用“∧”表示二叉链表：左孩子&#xff0…
阅读更多...
论文阅读：CenterFormer: Center-based Transformer for 3D Object Detection

论文阅读：CenterFormer: Center-based Transformer for 3D Object Detection

论文地址：[2209.05588] CenterFormer: Center-based Transformer for 3D Object Detection (arxiv.org) 代码地址：GitHub - TuSimple/centerformer: Implementation for CenterFormer: Center-based Transformer for 3D Object Detection (ECCV 2022) …
阅读更多...
Java多线程下载文件

Java多线程下载文件

JVM是支持多线程程序的，当程序需要同时执行两个或多个任务，实现一些需要等待的任务时，如用户输入、文件读写、网络操作、搜索等多线程程序比单线程程序更具优势，可充分利用CPU资源，完成时间更短，提高应用程…
阅读更多...
代码管理工具 gitlab实战应用

代码管理工具 gitlab实战应用

系列文章目录 第一章 Java线程池技术应用 第二章 CountDownLatch和Semaphone的应用 第三章 Spring Cloud 简介 第四章 Spring Cloud Netflix 之 Eureka 第五章 Spring Cloud Netflix 之 Ribbon 第六章 Spring Cloud 之 OpenFeign 第七章 Spring Cloud 之 GateWay 第八章 Sprin…
阅读更多...
Dokcer基础操作命令演示

Dokcer基础操作命令演示

Docker中的常见命令，可以参考官方文档：https://docs.docker.com/engine/reference/commandline/cli/ 1、命令介绍 其中，比较常见的命令有： 命令说明文档地址docker pull拉取镜像docker pulldocker push推送镜像到DockerRegistr…
阅读更多...
【大数据】Apache Hive数仓（学习笔记）

【大数据】Apache Hive数仓（学习笔记）

一、数据仓库基础概念 1、数仓概述 数据仓库（数仓、DW）：一个用于存储、分析、报告的数据系统。 OLAP（联机分析处理）系统：面向分析、支持分析的系统。 数据仓库的目的：构建面向分析的集成化数据…
阅读更多...
【Eclipse】Plug-in Development 插件的安装

【Eclipse】Plug-in Development 插件的安装

先按路线找到需要的页面：eclipse–Window–Preferences–Java–Editor–Content Assist 在Work with框中输入：http://download.eclipse.org/releases/2019-06 PS：后面的2019-06是eclipse发行的时间 选择：General Purpose Tools 下…
阅读更多...
TwinCAT3添加伺服控制器的方法

TwinCAT3添加伺服控制器的方法

文章目录 一. 主要参考二. 使用嵌入式控制器CX5140添加三菱MR-J4-TM伺服控制器的方法具体步骤 一. 主要参考 《TwinCAT NC 使用指南》第四章 TwinCAT NC 控制总线伺服 二. 使用嵌入式控制器CX5140添加三菱MR-J4-TM伺服控制器的方法 嵌入式控制器: 倍福CX5140伺服控制器&…
阅读更多...
【Eclipse】解决插件下载速度太慢

【Eclipse】解决插件下载速度太慢

解决方案：修改镜像 下面列出几个国内的镜像网站： 中国科学技术大学(5.6MB/s) http://mirrors.ustc.edu.cn/eclipse/ 北京理工大学（600KB/s） http://mirror.bit.edu.cn/eclipse/ 大连东软信息学院(400KB/s) http://mirrors.neuso…
阅读更多...
入门小白拥有服务器的建议

入门小白拥有服务器的建议

学习网络知识 当我们拥有了一台服务器以后，需要提前准备学习一些网络、服务器、互联网方便的知识， 以备在后续学习工作中使用。 建议的网络知识学习清单： 1. 网络基础知识：包括网络拓扑结构、协议、IP地址、子网掩码、网关等基础概念。 2. 网络安全：包括网络攻击类型、防…
阅读更多...
基于黑猩猩优化的BP神经网络（分类应用） - 附代码

基于黑猩猩优化的BP神经网络（分类应用） - 附代码

基于黑猩猩优化的BP神经网络（分类应用） - 附代码 文章目录 基于黑猩猩优化的BP神经网络（分类应用） - 附代码1.鸢尾花iris数据介绍2.数据集整理3.黑猩猩优化BP神经网络3.1 BP神经网络参数设置3.2 黑猩猩算法应用 4.测试结果&#x…
阅读更多...
英语——语法——从句——定语从句——笔记

英语——语法——从句——定语从句——笔记

一、从句的定义（Clause） 英语的语法中，有主句和从句之分。主句呢？当然是，我们要表达主要意思的句子，要表达的所有句子都可简化为某某是/做什么。 而从句的概念，指复合句中不能独立成句&#xf…
阅读更多...
PyTorch入门教学——简介与环境配置

PyTorch入门教学——简介与环境配置

一、简介 PyTorch是一个开源的Python机器学习库，其前身是2002年诞生于纽约大学的Torch。它是美国Facebook公司使用python语言开发的一个深度学习的框架。特点： 简洁 PyTorch的设计追求最少的封装，尽量避免重复造轮子。 简洁的设计带来的另外…
阅读更多...
SpringMVC之国际化上传下载

SpringMVC之国际化上传下载

spring项目中的国际化 1&#xff09;提供中英两种资源文件 i18n_en_US.properties i18n_zh_CN.properties 2&#xff09;配置国际化资源文件&#xff08;在spring配置文件中添加&#xff0c;例如spring-mvc.xml&#xff09; <bean id"messageSource" class&quo…
阅读更多...
CSS小技巧之单标签loader

CSS小技巧之单标签loader

本文翻译自 How to create a CSS-only loader with one element&#xff0c;作者&#xff1a; Temani Afif&#xff0c; 略有删改。 loader组件是网站的重要组成部分。它可以用在许多地方&#xff0c;我们需要显示的内容正在加载中。这样的组件需要尽可能简单&#xff0c;在这篇…
阅读更多...
Go语言入门心法(四): 异常体系

Go语言入门心法(四): 异常体系

Go语言入门心法(一): 基础语法 Go语言入门心法(二): 结构体 Go语言入门心法(三): 接口 Go语言入门心法(四): 异常体系 Go语言入门心法(五): 函数 一: go异常体系认知 后期补充完整,忙着去耍帅,泡妹子去.............
阅读更多...
C++之继承＜1＞【详解】

C++之继承＜1＞【详解】

C之继承【详解】 1. 继承的概念2. 继承定义的格式2.1 继承方式和访问限定符2.2 继承了基类成员后随着访问方式变化的变化 3. 基类和派生类对象的复制转换5. 隐藏 1. 继承的概念 继承(inheritance)机制是面向对象程序设计使代码可以复用的最重要的手段&#xff0c;它允许程序员在…
阅读更多...
日志分析题目

日志分析题目

关卡描述&#xff1a;1、黑客在内网抓了两台肉鸡对服务器进行攻击&#xff0c;请给出两台肉鸡的IP&#xff08;使用空格分隔&#xff09; 直接查看日志 rh 然后ls&#xff0c;查看 这里我没有看到明显web容器的字样&#xff0c;例如apache&#xff0c;iis的等等。 就看容器…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023