将日志元数据写入rsyslog

Question

我有一个设置，其中docker容器使用Journal ald日志驱动程序来写入它们的日志。目前日志中的日志行被转发到主机上运行的rsyslog，但syslog行上的应用程序名称显示为dockerd。

作为一种解决方法，我想将日志元数据中的CONTAINER_NAME字段写入syslog中出现的行中，这样我就可以确定在主机的syslog被发送到syslog聚合服务器之后，哪个容器写入了哪一行。

有什么建议吗？

Answer 1

我把它放进了rsyslog，成功了。形态

if（$！CONTAINER_TAG==“mycontainer”）然后{action（type=“omfile”file=“/var/log/mycontainer.log”）stop}

journalctl--unit docker CONTAINER_TAG=mycontainer很难找到这些信息，只有在redhat文档中才有记录：https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/System_Administrators_Guide/s1-structured_logging_with_rsyslog.html

我的用例是，我希望日志具有它提供的所有好处，但支持人员要求拥有正常文件。我们还将使用splunkproder来使用文件。

Answer 2

我认为最接近您可以获得图像名称。您可以添加日志标签以在日志中显示图像名称。此功能已在v1.11.0中添加。例如：

docker run --log-driver=journald --log-opt tag="{{.ImageName}}

也看看日志标签文档。希望这能有所帮助。

Answer 3

我能够通过在解析来自Journal ald的结构化日志后定义一个模板来实现这一点。为了弄清楚哪些属性可用，我运行了Jouralctl-o详细-n 10

rsyslog有多种不同的方法来完成相同的配置，下面是我在CentOS 7机器上的配置：

module(load="imjournal" StateFile="imjournal.state") # Load imjournal module
module(load="mmjsonparse") # Load mmjsonparse module for structured logs

action(type="mmjsonparse") # Attempt to parse JSON

template(name="ContainerTemplate" type="list") {
    property(name="timestamp" dateFormat="rfc3339")
    constant(value=" ")
    property(name="$!CONTAINER_NAME")
    constant(value=" ")
    property(name="$!CONTAINER_ID")
    constant(value=" ")
    property(name="$!MESSAGE")
    constant(value="\n") # Separate logs with a newline
}

if ($!CONTAINER_NAME != "") then {
    action(type="omfile" file="/var/log/messages" template="ContainerFormat")
} else {
    *.info;mail.none;news.none;authpriv.none;cron.none action(type="omfile" file="/var/log/messages")
}

• https://docs.docker.com/engine/admin/logging/journald/
• http://www.rsyslog.com/doc/v8-stable/configuration/modules/imjournal.html
• http://www.rsyslog.com/doc/master/configuration/modules/mmjsonparse.html
• http://www.rsyslog.com/using-rsyslog-and-elasticsearch-to-handle-different-types-of-json-logs/
• http://www.rsyslog.com/doc/v8-stable/configuration/templates.html
• http://www.rsyslog.com/doc/v8-stable/rainerscript/control_structures.html#if-else-if-else