Logging 最佳实践
本指南介绍了集群级别日志和应用日志的最佳实践。
在 Rancher 2.5 之前,Rancher 的 Logging 是一个静态集成。可供选择的聚合器是固定的(包括 ElasticSearch、Splunk、Kafka、Fluentd 和 Syslog),而且只有两个配置级别可供选择(集群级别和项目级别)。
现在,Rancher 的日志聚合更加灵活。通过新的 Logging 的功能,管理员和用户都可以部署符合细粒度收集标准的日志记录,同时提供更多的目标和配置选项。
Rancher Logging 使用的是 Logging Operator。我们让你可以管理这个 operator 及其资源,并将它的管理功能和 Rancher 集群管理联系起来。
集群级别日志
抓取集群内日志
某些用户可能想从集群中运行的每个容器中抓取日志。但是你的安全团队可能要求你从所有执行点收集所有日志。
在这种情况下,我们建议你至少创建两个 ClusterOutput 对象 - 一个用于安全团队(如果需要),另一个用于你自己,即集群管理员。创建这些对象时,请选择一个可以处理整个集群的大量日志的输出端点。此外,你还需要选择合适的索引来接收这些日志。
创建这些 ClusterOutput 对象后,创建一个 ClusterFlow 来收集所有日志。不要在此 flow 上定义任何 Include 或 Exclude 规则。这可以确保你能收集整个集群的所有日志。如果你有两个 ClusterOutputs,请确保它们都能收到日志。
Kubernetes 组件
ClusterFlows 能够收集 Kubernetes 集群中所有主机上所有容器的日志。如果这些容器包含在 Kubernetes Pod 中,这个方法是适用的。但是,RKE 容器不存在于 Kubernetes 内。
目前,Rancher 能搜集 RKE 容器的日志,但不能轻易过滤。这是因为这些日志不包含源容器的信息(例如 etcd
或 kube-apiserver
)。
Rancher 的未来版本将包含源容器名称,来支持过滤这些组件的日志。该功能实现之后,你将能够自定义 ClusterFlow 来仅检索 Kubernetes 组件日志,并将日志发送到适当的输出位置。
应用日志
对于 Kubernetes 和所有基于容器的应用而言,最佳实践是将应用日志引导到 stdout
/stderr
。容器运行时将捕获这些日志并用它们进行某些操作 - 通常是将它们写入文件。根据容器运行时(及其配置),这些日志可以放置在任意数量的位置。
在将日志写入文件的情况下,Kubernetes 通过在每个主机上创建一个 /var/log/containers
目录来提供帮助。这个目录将日志文件符号链接到它们的实际目的地(可能因为配置或容器运行时而有所不同)。
Rancher 的 Logging 将读取 /var/log/containers
中的所有日志条目,确保所有容器的所有日志条目(假设使用默认配置)均能被收集和处理。
特定日志文件
日志收集仅从 Kubernetes 中的 Pod 中检索 stdout
/stderr
日志。但是,我们也可能想从应用生成的其他文件中收集日志。在这种情况下,你可以使用一个(或两个)日志流 Sidecar。
设置日志流 Sidecar 的目的是获取写入磁盘的日志文件,并将其内容传输到 stdout
。这样一来,Logging Operator 就可以接收这些日志,并把日志发送到目标输出位置。
要进行设置,编辑你的工作负载资源(例如 Deployment)并添加以下 Sidecar 定义:
...
containers:
- args:
- -F
- /path/to/your/log/file.log
command:
- tail
image: busybox
name: stream-log-file-[name]
volumeMounts:
- mountPath: /path/to/your/log
name: mounted-log
...
这将添加一个容器到你的工作负载定义中,用于将 /path/to/your/log/file.log
的内容(在本示例中)传输到 stdout
。
然后将根据你设置的 Flows 或 ClusterFlows 自动收集该日志流。你还可以通过使用容器的名称,专门为该日志文件创建一个 Flow。示例如下:
...
spec:
match:
- select:
container_names:
- stream-log-file-name
...
通用最佳实践
- 尽量输出结构化日志条目(例如
syslog
、JSON)。这些格式已经有了解析器,因此你可以更轻松地处理日志条目。 - 尽量在日志条目内提供创建该日志条目的应用的名称。这可以使故障排除更容易。这是因为 Kubernetes 并不总是将应用的名称作为对象名称。例如,某个 Pod ID 可能是
myapp-098kjhsdf098sdf98
,从这个 ID 中我们不能获取运行在容器内的应用的太多信息。 - 除了在集群范围内收集所有日志的情况外,尽量严格限定 Flow 和 ClusterFlow 对象的范围。这使得在出现问题时更容易进行故障排除,并且还有助于确保不相关的日志条目不会出现在你的聚合器中。严格限定范围的一个例子是将 Flow 限制在命名空间中的单个 Deployment,甚至是 Pod 中的单个容器。
- 除非要进行故障排除,否则不要让日志太详细。太详细的日志会带来许多问题,其中最主要的是带来干扰,即重要事件可能会淹没在海量
DEBUG
信息中。你可以通过使用自动告警和脚本来缓解这种问题,但太详细的日志仍然给日志管理基础设施带来过大的压力。 - 如果可能,尽量在日志条目中提供事务或请求 ID。这可以使跨日志源追踪应用活动变得更容易,尤其是在处理分布式应用时。