6月iOS設備好評榜：第一蟬聯榜首近一年
作為安兔兔各種榜單里變化最小的那個，2023年6月的iOS好評榜和上個月相比沒有任何排名上的變化，僅僅是部分設備好評率的下降，長年累月的用戶評價和逐漸退出市場的老款機器讓這
圖片
https://docs.fluentbit.io/manual/installation/kubernetes
默認情況下fluent-bit通過socket獲取journald日志，但如果使用pod運行fluent-bit時無法獲取journald日志，需要配置journald參數，改為存儲至宿主機本地/var/log/journal目錄下，然后pod掛載宿主機/var/log目錄進而讀取kubelet和container日志。
[root@work1 ~]# vim /etc/systemd/journald.confStorage=persistent[root@work1 ~]# systemctl restart systemd-journald拉取helm包
[root@master1 ~]# helm repo add fluent https://fluent.github.io/helm-charts[root@master1 ~]# helm pull fluent/fluent-bit --untar[root@master1 ~]# cd fluent-bit/[root@master1 fluent-bit]# lsChart.yaml ci dashboards README.md templates values.yaml修改配置
[root@tiaoban fluent-bit]# vim values.yamlimage: repository: harbor.local.com/elk/fluentbit # 修改為本地倉庫地址 tag: v2.1.9 # 指定鏡像版本config: # 默認未配置文件緩沖，新增文件緩沖配置 service: | [SERVICE] Daemon Off Flush {{ .Values.flush }} Log_Level {{ .Values.logLevel }} Parsers_File /fluent-bit/etc/parsers.conf Parsers_File /fluent-bit/etc/conf/custom_parsers.conf HTTP_Server On HTTP_Listen 0.0.0.0 HTTP_Port {{ .Values.metricsPort }} Health_Check On storage.path /var/log/flb-storage/ storage.sync normal storage.checksum off storage.backlog.mem_limit 5M # 默認配置文件只采集pod和kubelet服務日志，新增containerd日志，并排除Fluentd和Fluent-bit日志采集 inputs: | [INPUT] Name systemd Tag containerd.service Systemd_Filter _SYSTEMD_UNIT=containerd.service Read_From_Tail On [INPUT] Name systemd Tag kubelet.service Systemd_Filter _SYSTEMD_UNIT=kubelet.service Read_From_Tail On [INPUT] Name tail Path /var/log/containers/*.log Exclude_Path /var/log/containers/fluent-bit*, /var/log/containers/fluentd-* multiline.parser docker, cri Tag kube.* Mem_Buf_Limit 5MB Skip_Long_Lines On # 原始字段中的time值不是標準時間格式，直接寫入es會報錯，可移除time字段，使用@timestamp標識時間 filters: | [FILTER] name record_modifier match kube.* remove_key time # 將所有采集到的數據直接轉發至后端fluentd服務。 outputs: | [OUTPUT] Name forward Match * Host fluentd.logging.svc Port 8888 storage.total_limit_size 5MhotReload: enabled: true # 按需開啟配置熱更新 image: repository: harbor.local.com/elk/fluentbit # 修改為本地倉庫地址部署fluent-bit
[root@tiaoban fluent-bit]# kubectl create ns loggingnamespace/logging created[root@tiaoban fluent-bit]# helm install fluent-bit -n logging . -f values.yamlNAME: fluent-bitLAST DEPLOYED: Sat Sep 16 14:46:03 2023NAMESPACE: loggingSTATUS: deployedREVISION: 1NOTES:Get Fluent Bit build information by running these commands:export POD_NAME=$(kubectl get pods --namespace logging -l "app.kubernetes.io/name=fluent-bit,app.kubernetes.io/instance=fluent-bit" -o jsnotallow="{.items[0].metadata.name}")kubectl --namespace logging port-forward $POD_NAME 2020:2020curl http://127.0.0.1:2020驗證
[root@tiaoban fluent]# cat Dockerfile FROM fluent/fluentd:v1.16.2-debian-1.1USER rootADD GeoLite2-City.mmdb /fluentd/GeoLite2-City.mmdbRUN buildDeps="build-essential libgeoip-dev autoconf automake libtool libffi-dev" / && sed -i "s@http://deb.debian.org@http://mirrors.aliyun.com@g" /etc/apt/sources.list / && apt-get update / && apt-get install -y --no-install-recommends $buildDeps / && gem sources --add https://gems.ruby-china.com/ --remove https://rubygems.org/ / && fluent-gem install fluent-plugin-elasticsearch fluent-plugin-geoip fluent-plugin-rewrite-tag-filter / && apt-get autoclean / && gem sources --clear-all / && rm -rf /var/lib/apt/lists/* / && rm -rf /tmp/* /var/tmp/* /usr/lib/ruby/gems/*/cache/*.gem[root@tiaoban fluent]# docker build -t harbor.local.com/elk/fluentd:fluentd:v1.16.2 .[root@tiaoban fluent]# docker push harbor.local.com/elk/fluentd:fluentd:v1.16.2由于fluentd鏡像未安裝elasticsearch、geoip、rewrite-tag-filter插件，如果在pod的init階段在線安裝插件經常會導致拉取超時無法正常啟動。因此需要提前構建包含相關插件的fluentd鏡像，并上傳至harbor倉庫中。
[root@tiaoban fluentd]# cat fluentd-conf.yaml apiVersion: v1kind: ConfigMapmetadata: name: fluentd-conf namespace: loggingdata: fluent.conf : |- <source> @type forward port 8888 bind 0.0.0.0 </source> <match *.service> @type elasticsearch host elasticsearch-es-http.elk.svc port 9200 default_elasticsearch_version 8 user elastic scheme https password 78HOWor95Iiot076O59xq2Am ssl_verify false data_stream_name logs-${tag}-fluentd include_timestamp true <buffer> @type file flush_interval 5s path /fluentd/buf/service-logs.* </buffer> </match> <match kube.**> @type elasticsearch host elasticsearch-es-http.elk.svc port 9200 default_elasticsearch_version 8 user elastic scheme https password 78HOWor95Iiot076O59xq2Am ssl_verify false data_stream_name logs-pod-fluentd include_timestamp true <buffer> @type file flush_interval 5s path /fluentd/buf/pod-logs.* </buffer> </match>fluentd使用deployment控制器部署多副本集群，用于接收fluent bit的數據然后寫入es的數據流中。
apiVersion: apps/v1kind: Deploymentmetadata: name: fluentd namespace: loggingspec: replicas: 3 selector: matchLabels: app: fluentd template: metadata: labels: app: fluentd spec: containers: - name: fluentd image: harbor.local.com/elk/fluentd:v1.16.2 resources: limits: memory: "128Mi" cpu: "500m" ports: - containerPort: 8888 volumeMounts: - name: fluentd-conf mountPath: /fluentd/etc/fluent.conf subPath: fluent.conf volumes: - name: fluentd-conf configMap: name: fluentd-confapiVersion: v1kind: Servicemetadata: name: fluentd namespace: loggingspec: selector: app: fluentd ports: - port: 8888 targetPort: 8888apiVersion: apps/v1kind: Deploymentmetadata: name: fluentd namespace: loggingspec: replicas: 3 selector: matchLabels: app: fluentd template: metadata: labels: app: fluentd spec: containers: - name: fluentd image: harbor.local.com/elk/fluentd:v1.16.2 resources: limits: memory: "128Mi" cpu: "500m" ports: - containerPort: 8888 volumeMounts: - name: fluentd-conf mountPath: /fluentd/etc/fluent.conf subPath: fluent.conf volumes: - name: fluentd-conf configMap: name: fluentd-conf部署fluentd服務
[root@tiaoban fluentd]# lsDockerfile fluentd-conf.yaml fluentd-svc.yaml fluentd.yaml GeoLite2-City.mmdb[root@tiaoban fluentd]# kubectl apply -f .configmap/fluentd-conf createdservice/fluentd createddeployment.apps/fluentd created此時查看kibana索引管理，已成功創建了pod、containerd、kubelet日志數據流。
圖片
雖然我們已經將service日志存儲在了elasticsearch中，但觀察發現默認情況下日志內容都在MESSAGE字段中，通常情況下，我們只會關注日志等級為warning和error的日志，因此我們需要對該字段內容做解析處理。
觀察container日志可知，MESSAGE中包含了日志時間、日志等級、日志內容三部分內容
圖片
觀察kubelet日志，MESSAGE中包含了日志時間、處理函數、日志內容三部分內容
圖片
我們可以通過正則匹配插件實現MESSAGE字段值解析操作，需要注意的是正則匹配時一定是所有字段都包含，否則會因為匹配不到而無法過濾處理操作。
apiVersion: v1kind: ConfigMapmetadata: name: service-conf namespace: loggingdata: service.conf : | <filter containerd.service> @type parser key_name MESSAGE reserve_data true <parse> @type regexp expression /time="(?<time>[^"]+)" level=(?<level>[^ ]+) msg="(?<msg>[^"]+)"/ time_key time time_format %Y-%m-%dT%H:%M:%S.%N%z </parse> </filter> <filter kubelet.service> @type parser key_name MESSAGE reserve_data true <parse> @type regexp expression /[EI](?<time>/d{4} /d{2}:/d{2}:/d{2}./d{6}) +/d* (?<class>/w*).go:/d*] (?<message>.*)/ time_key time time_format %m%d %H:%M:%S.%N timezone +08:00 </parse> </filter> <match *.service> @type elasticsearch_data_stream host elasticsearch-es-http.elk.svc port 9200 default_elasticsearch_version 8 user elastic scheme https password 78HOWor95Iiot076O59xq2Am ssl_verify false data_stream_name logs-${tag}-fluentd include_timestamp true <buffer> @type file path /fluentd/buf/service-logs.* </buffer> </match>查看containerd服務日志，已成功解析了MESSAGE字段內容，并新增了@timestamp、leve、msg字段
圖片
查看kubelet服務日志，同樣成功解析了MESSAGE字段內容，并新增了@timestamp、class、message字段
圖片
默認情況下，fluent bit會采集所有pod日志信息，并自動添加namespace、pod、container等信息，所有日志內容存儲在log字段中。 以log-demo應為日志為例，將所有日志內容存儲到log字段下無法很好的解析日志內容，因此需要編寫fluentd解析規則，實現日志內容解析。
圖片
使用rewrite_tag_filter插件，匹配到container_name字段值為log-demo的事件時，新增myapp.log標簽，接下來對myapp.log標簽的事件進一步做解析處理操作。
apiVersion: v1kind: ConfigMapmetadata: name: myapp-conf namespace: loggingdata: myapp.conf : | <match kube.**> @type rewrite_tag_filter <rule> key $.kubernetes.container_name pattern log-demo tag myapp.log </rule> </match> <filter myapp.log> @type parser key_name log <parse> @type regexp expression /^(?<logtime>[^|]+) /| (?<level>[A-Z]*) */| __main__:(?<class>/D*:/d*) - (?<content>.*)$/ time_key logtime time_format %Y-%m-%d %H:%M:%S.%L </parse> </filter> <filter myapp.log> @type record_transformer enable_ruby <record> content ${record["content"].gsub("'", '"')} </record> </filter> <filter myapp.log> @type parser key_name content <parse> @type json </parse> </filter> <filter myapp.log> @type geoip geoip_lookup_keys remote_address geoip2_database /fluentd/GeoLite2-City.mmdb backend_library geoip2_c <record> geoip_city ${city.names.en["remote_address"]} geoip_latitude ${location.latitude["remote_address"]} geoip_longitude ${location.longitude["remote_address"]} geoip_country ${country.iso_code["remote_address"]} geoip_country_name ${country.names.en["remote_address"]} geoip_postal_code ${postal.code["remote_address"]} geoip_region_name ${subdivisions.0.names.en["remote_address"]} </record> </filter> <match myapp.log> @type elasticsearch_data_stream host elasticsearch-es-http.elk.svc port 9200 default_elasticsearch_version 8 user elastic scheme https password 78HOWor95Iiot076O59xq2Am ssl_verify false data_stream_name logs-myapp-default include_timestamp true <buffer> @type file flush_interval 5s path /fluentd/buf/myapp-logs.* </buffer> </match>查看kibana索引信息，已成功創建名為logs-myapp-default的數據流。
圖片
查看logs-myapp-default字段信息，已成功解析了日志內容。
圖片
本實驗案例所有yaml文件已上傳至git倉庫。訪問地址如下：
https://github.com/cuiliang0302/blog-demo
https://gitee.com/cuiliang0302/blog_demo
fluent bit轉發事件至fluentd：
https://docs.fluentbit.io/manual/pipeline/outputs/forward
構建自定義fluentd鏡像：
https://github.com/fluent/fluentd-docker-image#31-for-current-images
fluentd重寫事件tag：
https://docs.fluentd.org/output/rewrite_tag_filter
博客鏈接：https://www.cuiliangblog.cn/
本文鏈接：http://www.tebozhan.com/showinfo-26-13614-0.htmlELK Stack生產實踐——pod日志采集(EFK方案)
聲明：本網頁內容旨在傳播知識，若有侵權等問題請及時與本網聯系，我們將在第一時間刪除處理。郵件：2376512515@qq.com
Copyright ? 2016-2023 天津谷騏科技有限公司 版權所有 sitemap.xml
違法及侵權請聯系：2376512515@qq.com 津ICP備18001702號
津公網安備 12010102000574號