EFK Kubernetes 堆栈中不存在主机日志日志答案

【问题标题】：Host journal logs no present in EFK Kubernetes stackEFK Kubernetes 堆栈中不存在主机日志日志
【发布时间】：2021-01-10 10:35:21
【问题描述】：

我正在使用kube-fluentd-operator 将使用fluentd 的日志聚合到Elasticsearch 并在Kibana 中查询它们。

我可以在集群中看到我的应用程序（pod）日志。但是，我无法从集群内的主机中看到日志日志（systemd 单元、kubelet 等）。

fluentd 的 pods 日志中没有明显的消息，堆栈适用于来自应用程序的日志。在fluentd 容器内，我可以访问/var/log/journal 目录（drwxr-sr-x 3 root 101 4096 May 21 12:37 journal）。我接下来应该在哪里查看以在我的 EFK 堆栈中获取日志记录？

这是附加到kube-system 命名空间的kube-system.conf 文件：

<match systemd.** kube.kube-system.** k8s.** docker>
  # all k8s-internal and OS-level logs

  @type elasticsearch
  host "logs-es-http.logs"
  port "9200"
  scheme "https"
  ssl_verify false
  user "u1"
  password "password"
  logstash_format true
  #with_transporter_log true
  #@log_level debug
  validate_client_version true
  ssl_version TLSv1_2
</match>

根据文档，最小、简单。

我的搜索词有没有可能是错误的？为了获取日志日志，我应该搜索什么？

【问题讨论】：

标签： elasticsearch kubernetes kibana fluentd efk

【解决方案1】：

在尝试了所有可能的解决方案之后（从启用 log_level debug，到仅监控 kube-system 命名空间，再到将 runAsGroup: 101 添加到容器中），我剩下的就是更改用于日志聚合的内容和决定从那个运营商切换到fluent自己提供的DaemonSet：https://github.com/fluent/fluentd-kubernetes-daemonset

此开关已被证明是成功的，systemd 单元的搜索可在 EFK 堆栈内部进行。

【讨论】：