Splunk 日志驱动程序

splunk 日志驱动程序将容器日志发送到 HTTP 事件收集器 中的 Splunk Enterprise 和 Splunk Cloud。

用法

您可以将 Docker 日志配置为默认使用 splunk 驱动程序,或按容器方式使用。

要将 splunk 驱动程序用作默认日志驱动程序,请在 daemon.json 配置文件中将 log-driverlog-opts 键设置为相应的值,然后重启 Docker。例如

{
  "log-driver": "splunk",
  "log-opts": {
    "splunk-token": "",
    "splunk-url": "",
    ...
  }
}

daemon.json 文件位于 Linux 主机上的 /etc/docker/ 或 Windows Server 上的 C:\ProgramData\docker\config\daemon.json 中。有关使用 daemon.json 配置 Docker 的更多信息,请参阅 daemon.json

注意

daemon.json 配置文件中的 log-opts 配置选项必须以字符串形式提供。因此,布尔值和数值(例如 splunk-gzipsplunk-gzip-level 的值)必须用引号 (") 括起来。

要将 splunk 驱动程序用于特定容器,请使用 docker run 命令的 --log-driverlog-opt 命令行标志

$ docker run --log-driver=splunk --log-opt splunk-token=VALUE --log-opt splunk-url=VALUE ...

Splunk 选项

以下属性允许您配置 Splunk 日志驱动程序。

  • 要配置整个 Docker 环境中的 splunk 驱动程序,请使用 "log-opts": {"NAME": "VALUE", ...} 键编辑 daemon.json
  • 要配置单个容器的 splunk 驱动程序,请使用 docker run 命令和 --log-opt NAME=VALUE ... 标志。
选项必需描述
splunk-token必需Splunk HTTP 事件收集器令牌。
splunk-url必需指向您的 Splunk Enterprise、自助服务 Splunk Cloud 实例或 Splunk Cloud 托管集群的路径(包括 HTTP 事件收集器使用的端口和方案),格式如下:https://your_splunk_instance:8088https://input-prd-p-XXXXXXX.cloud.splunk.com:8088https://http-inputs-XXXXXXXX.splunkcloud.com
splunk-source可选事件源。
splunk-sourcetype可选事件源类型。
splunk-index可选事件索引。
splunk-capath可选指向根证书的路径。
splunk-caname可选用于验证服务器证书的名称;默认情况下,将使用 splunk-url 的主机名。
splunk-insecureskipverify可选忽略服务器证书验证。
splunk-format可选消息格式。可以是 inlinejsonraw。默认为 inline
splunk-verify-connection可选在启动时验证 Docker 是否可以连接到 Splunk 服务器。默认为 true。
splunk-gzip可选启用/禁用 gzip 压缩以将事件发送到 Splunk Enterprise 或 Splunk Cloud 实例。默认为 false。
splunk-gzip-level可选设置 gzip 的压缩级别。有效值为 -1(默认)、0(无压缩)、1(最佳速度)... 9(最佳压缩)。默认为 DefaultCompression.
tag可选为消息指定标记,该标记解释某些标记。默认值为 {{.ID}}(容器 ID 的 12 个字符)。请参阅 日志标记选项文档,了解如何自定义日志标记格式。
labels可选以逗号分隔的标签键列表,这些标签应包含在消息中(如果这些标签是为容器指定的)。
labels-regex可选labels 类似且兼容。用于匹配与日志相关的标签的正则表达式。用于高级 日志标记选项
env可选以逗号分隔的环境变量键列表,这些变量应包含在消息中(如果这些变量是为容器指定的)。
env-regex可选env 类似且兼容。用于匹配与日志相关的环境变量的正则表达式。用于高级 日志标记选项

如果 labelenv 键之间存在冲突,则 env 的值优先。这两个选项都会在日志消息的属性中添加额外的字段。

以下是以 Splunk Enterprise 实例指定的日志选项示例。该实例安装在与 Docker 守护程序运行的同一台机器上的本地位置。

使用 HTTPS 方案指定指向根证书和通用名的路径。这用于验证。SplunkServerDefaultCert 由 Splunk 证书自动生成。

$ docker run \
    --log-driver=splunk \
    --log-opt splunk-token=176FCEBF-4CF5-4EDF-91BC-703796522D20 \
    --log-opt splunk-url=https://splunkhost:8088 \
    --log-opt splunk-capath=/path/to/cert/cacert.pem \
    --log-opt splunk-caname=SplunkServerDefaultCert \
    --log-opt tag="{{.Name}}/{{.FullID}}" \
    --log-opt labels=location \
    --log-opt env=TEST \
    --env "TEST=false" \
    --label location=west \
    your/application

托管在 Splunk Cloud 上的 Splunk 实例的 splunk-url 格式为 https://http-inputs-XXXXXXXX.splunkcloud.com,不包含端口说明符。

消息格式

有三种日志驱动程序消息格式:inline(默认)、jsonraw


默认格式为 inline,其中每条日志消息都嵌入为字符串。例如

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "my message"
}
{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "{\"foo\": \"bar\"}"
}

要将消息格式化为 json 对象,请设置 --log-opt splunk-format=json。驱动程序会尝试将每行解析为 JSON 对象并将其作为嵌入对象发送。如果它无法解析消息,则会以 inline 方式发送。例如

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "my message"
}
{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": {
    "foo": "bar"
  }
}

要将消息格式化为 raw,请设置 --log-opt splunk-format=raw。属性(环境变量和标签)和标记将添加到消息的前面。例如

MyImage/MyContainer env1=val1 label1=label1 my message
MyImage/MyContainer env1=val1 label1=label1 {"foo": "bar"}

高级选项

Splunk 日志驱动程序允许您通过为 Docker 守护程序设置环境变量来配置一些高级选项。

环境变量名称默认值描述
SPLUNK_LOGGING_DRIVER_POST_MESSAGES_FREQUENCY5s等待更多消息进行批处理的时间。
SPLUNK_LOGGING_DRIVER_POST_MESSAGES_BATCH_SIZE1000应该积累的消息数量,以便在一次批处理中发送。
SPLUNK_LOGGING_DRIVER_BUFFER_MAX10 * 1000缓冲区中用于重试的最多消息数量。
SPLUNK_LOGGING_DRIVER_CHANNEL_SIZE4 * 1000用于将消息发送到后台日志记录工作程序(将消息批处理)的通道中可以容纳的最多挂起消息数量。