Splunk UF 未从 Kubernetes 容器转发日志答案

【问题标题】：SplunkUF is not forwarding logs from the Kubernates containerSplunk UF 未从 Kubernetes 容器转发日志
【发布时间】：2018-12-07 12:05:39
【问题描述】：

我使用此博客在我的 kubernetes 集群中部署了 Splunk Forwarder。

http://jasonpoon.ca/2017/04/03/kubernetes-logging-with-splunk/

我有 4 个文件在

/opt/splunk/etc/system/local

inputs.conf

server.conf

limits.conf

outputs.conf

我的 inputs.conf 看起来像这样。

[default]
host = testtest

[monitor:///usr/local/tomcat/logs]
whitelist=test.log|.log_WHITELIST_|test
index= abc
sourcetype=log4j
[splunktcp://9997]
compressed = false

我无法在 Splunk UI 中获取日志。当我将它部署为边车时。但是如果我在本地使用相同的 docker 映像但放置虚拟日志文件。我可以看到日志。那为什么它不能与 kubernates 一起使用呢？

我也检查了 splunkd.log。

/opt/splunk/var/log/splunk # tail splunkd.log

12-07-2018 10:43:38.793 +0000 INFO  TailingProcessor - Adding watch on path: /opt/splunk/var/spool/splunk.
12-07-2018 10:43:38.793 +0000 INFO  TailingProcessor - Adding watch on path: /usr/local/tomcat/logs.
12-07-2018 10:43:38.795 +0000 INFO  loader - Limiting REST HTTP server to 21845 sockets
12-07-2018 10:43:38.795 +0000 INFO  loader - Limiting REST HTTP server to 657 threads
12-07-2018 10:43:38.798 +0000 INFO  TailReader - Registering metrics callback for: batchreader0
12-07-2018 10:43:38.798 +0000 INFO  TailReader - Starting batchreader0 thread
12-07-2018 10:43:38.798 +0000 INFO  TailReader - Registering metrics callback for: tailreader0
12-07-2018 10:43:38.798 +0000 INFO  TailReader - Starting tailreader0 thread
12-07-2018 10:43:38.850 +0000 INFO  TcpOutputProc - Connected to idx=52.204.198.184:9997 using ACK.
12-07-2018 10:44:08.358 +0000 WARN  AuthenticationManagerSplunk - Seed file is not present. Defaulting to generic username/pass pair.

任何建议如何解决这个问题。卡在这里好几天了。我必须在 kubernates 下打开任何端口吗？虽然我可以从 splunk 容器 ping splunk 服务器。

【问题讨论】：

你的 output.conf 指向什么？最好查看所有配置文件，看看某处是否存在错误配置或需要调整的地方。
Splunk forwarder with kubernates in side car pattern的可能重复
我将基础映像从 apline 更改为 debian 后，它就开始工作了。

标签： splunk

【解决方案1】：

我强烈建议寻找将 Kubernetes 日志转发到 Splunk 的替代方案：

Splunk Connect for Kubernetes 的开源免费版本 - 这是 Splunk 推荐的转发日志选项
Monitoring Kubernetes with Collectord 来自 Outcold Solutions（我代表这家公司） - 这是一个专有软件，需要 10 分钟来设置以转发日志和收集指标。

【讨论】：