从docker容器中对日志进行结构化日志记录

Question

从docker容器中将结构化日志写入journald的最佳方式是什么？

例如，我有一个使用sd_journal_send而不是更改应用程序的应用程序，我尝试通过

-v/var/log/systemd/journal：/var/log/systemd/journal

docker journald输出日志记录选项有哪些限制？它似乎不支持应用程序编写不仅仅是消息字段。

--

所以我发现我需要-v/dev/log://dev/log

C程序可以这样写systemd日记：

#include <systemd/sd-journal.h>
#include <unistd.h>
#include <stdlib.h>

int main(int argc, char *argv[]) {
        sd_journal_send("MESSAGE=Hello World!",
                        "MESSAGE_ID=52fb62f99e2c49d89cfbf9d6de5e3555",
                        "PRIORITY=5",
                        "HOME=%s", getenv("HOME"),
                        "TERM=%s", getenv("TERM"),
                        "PAGE_SIZE=%li", sysconf(_SC_PAGESIZE),
                        "N_CPUS=%li", sysconf(_SC_NPROCESSORS_ONLN),
                        NULL);
        return 0;
}

这将写入日记并添加自定义字段，如HOME、TERM、PAGE_SIZE等。当我使用journalbeat将这些字段发送到ELK堆栈时，这些字段最终很好地出现在elasticsearch中，我可以直接搜索它们。

然而，docker似乎只是从应用程序中提取stdout，并将其添加到日志中，只添加了几个字段。例如container_id。

当在docker容器中使用这样的程序，然后从服务文件中运行它们时，会产生一个小问题。

1）我必须通过一些目录和设备文件才能用sd_journal_send写入它。

2）如果从systemd.service文件启动容器，并希望使用JournalCTL-U servicename并查看消息，则无法看到这些日志消息，因为它们以不同的路由进入日记，并且与运行它们的服务没有关联。

Answer 1

最终的解决方案很简单。

我转而以纯JSON方式编写消息。所以journalctl-u现在可以工作并显示包含json数据的消息字段。

然后我使用journalbeat将其发送到LogStash。

filter {
  json {
    source => "message"
  }
}