K8s环境全日志收集（附带k8s元数据）

首先注意：

filebeat和elasticsearch的版本最好是一个大版本，kibana和elasticsearch的版本最好一致

踩坑：

filebeat已经提交过没有k8s元数据的日志，就算删除了索引，但是filebeat中有记录，删除了registry文件但是还是有（需要filebeat清除彻底），最简单方法可以修改索引名称

// filebeat容器镜像

https://docker.aityp.com/image/docker.io/kubeimages/filebeat:7.9.3

// filebeat启动命令及环境变量配置

// 启动命令
command: filebeat
args: -c /tmp/filebeat.yml -e// 环境变量env
- name: "NODE_NAME"valueFrom:fieldRef:apiVersion: "v1"fieldPath: "spec.nodeName"// contaier日志文件
/var/log/pods 真实日志文件存在,层级下还有目录
/var/log/contaiers 存在软连接log文件，直接指向log文件

// filebeat rbac配置

data:filebeat.yml: |filebeat.inputs:- type: containerpaths:# - /var/log/pods/*/*/*.log- /var/log/containers/*.log# 重要：在此处添加处理器，而不是全局processors:- add_kubernetes_metadata:host: ${NODE_NAME}matchers:- logs_path:logs_path: "/var/log/containers/"- logs_path:logs_path: "/var/log/pods/"resource_type: "pod"default_indexers.enabled: falsedefault_matchers.enabled: falsein_cluster: trueoutput.elasticsearch:hosts: ['es-svc.es.svc.cluster.local:9200']username: elasticpassword: 7vMFCCTFbSvb9qjH7iUt

filebeat.yml配置文件

apiVersion: v1
kind: ConfigMap
metadata:name: filebeat-confignamespace: es  # 根据实际命名空间调整
data:filebeat.yml: |# Filebeat 配置filebeat.inputs:- type: containerpaths:# - /var/log/pods/*/*/*.log- /var/log/containers/*.logindex: "kubernetes-add-sources-data"symlinks: true# Kubernetes 元数据处理器processors:- add_kubernetes_metadata:host: ${NODE_NAME}# default_indexers.enabled: falsedefault_matchers.enabled: falsematchers:- logs_path:logs_path: "/var/log/containers/"# - logs_path:#     logs_path: "/var/log/pods/"#     resource_type: "pod"in_cluster: true# include_fields:#   - "kubernetes.namespace"#   - "kubernetes.pod.name"#   - "kubernetes.container.name"#   - "kubernetes.pod.uid"#   - "kubernetes.labels"# 调试信息处理器（可选）# - add_fields:#     target: "_debug"#     fields:#       processor: "kubernetes_metadata"#       timestamp: "%{@timestamp}"#       node: "${NODE_NAME}"# Elasticsearch 输出配置output.elasticsearch:hosts: ['es-svc.es.svc.cluster.local:9200']username: elasticpassword: 7vMFCCTFbSvb9qjH7iUt# 控制台输出（调试用）# output.console:#   pretty: true#   codec.json:#     pretty: true# 可选：通用配置# setup.kibana:#   host: "kibana.kibana.svc.cluster.local:5601"# 可选：索引生命周期管理# setup.ilm.enabled: false# 可选：日志记录级别# logging.level: info# logging.to_files: true# logging.files:#   path: /var/log/filebeat#   name: filebeat#   keepfiles: 7#   permissions: 0644

// kibana镜像地址

https://docker.aityp.com/image/docker.io/kibana:7.5.1

// 环境变量设置，设置完成就可以直接初始化，不然无法访问

- env:- name: "ELASTICSEARCH_HOSTS"value: "http://es-svc.es.svc.cluster.local:9200"- name: "ELASTICSEARCH_PASSWORD"value: "7vMFCCTFbSvb9qjH7iUt"- name: "ELASTICSEARCH_USERNAME"value: "elastic"- name: "I18N_LOCALE"value: "zh-CN"