Splunk 日志驱动程序
splunk
日志驱动程序将容器日志发送到 HTTP 事件收集器 中的 Splunk Enterprise 和 Splunk Cloud。
用法
您可以将 Docker 日志配置为默认使用 splunk
驱动程序,或按容器方式使用。
要将 splunk
驱动程序用作默认日志驱动程序,请在 daemon.json
配置文件中将 log-driver
和 log-opts
键设置为相应的值,然后重启 Docker。例如
{
"log-driver": "splunk",
"log-opts": {
"splunk-token": "",
"splunk-url": "",
...
}
}
daemon.json 文件位于 Linux 主机上的 /etc/docker/
或 Windows Server 上的 C:\ProgramData\docker\config\daemon.json
中。有关使用 daemon.json
配置 Docker 的更多信息,请参阅 daemon.json。
注意
daemon.json
配置文件中的log-opts
配置选项必须以字符串形式提供。因此,布尔值和数值(例如splunk-gzip
或splunk-gzip-level
的值)必须用引号 ("
) 括起来。
要将 splunk
驱动程序用于特定容器,请使用 docker run
命令的 --log-driver
和 log-opt
命令行标志
$ docker run --log-driver=splunk --log-opt splunk-token=VALUE --log-opt splunk-url=VALUE ...
Splunk 选项
以下属性允许您配置 Splunk 日志驱动程序。
- 要配置整个 Docker 环境中的
splunk
驱动程序,请使用"log-opts": {"NAME": "VALUE", ...}
键编辑daemon.json
。 - 要配置单个容器的
splunk
驱动程序,请使用docker run
命令和--log-opt NAME=VALUE ...
标志。
选项 | 必需 | 描述 |
---|---|---|
splunk-token | 必需 | Splunk HTTP 事件收集器令牌。 |
splunk-url | 必需 | 指向您的 Splunk Enterprise、自助服务 Splunk Cloud 实例或 Splunk Cloud 托管集群的路径(包括 HTTP 事件收集器使用的端口和方案),格式如下:https://your_splunk_instance:8088 、https://input-prd-p-XXXXXXX.cloud.splunk.com:8088 或 https://http-inputs-XXXXXXXX.splunkcloud.com 。 |
splunk-source | 可选 | 事件源。 |
splunk-sourcetype | 可选 | 事件源类型。 |
splunk-index | 可选 | 事件索引。 |
splunk-capath | 可选 | 指向根证书的路径。 |
splunk-caname | 可选 | 用于验证服务器证书的名称;默认情况下,将使用 splunk-url 的主机名。 |
splunk-insecureskipverify | 可选 | 忽略服务器证书验证。 |
splunk-format | 可选 | 消息格式。可以是 inline 、json 或 raw 。默认为 inline 。 |
splunk-verify-connection | 可选 | 在启动时验证 Docker 是否可以连接到 Splunk 服务器。默认为 true。 |
splunk-gzip | 可选 | 启用/禁用 gzip 压缩以将事件发送到 Splunk Enterprise 或 Splunk Cloud 实例。默认为 false。 |
splunk-gzip-level | 可选 | 设置 gzip 的压缩级别。有效值为 -1(默认)、0(无压缩)、1(最佳速度)... 9(最佳压缩)。默认为 DefaultCompression. |
tag | 可选 | 为消息指定标记,该标记解释某些标记。默认值为 {{.ID}} (容器 ID 的 12 个字符)。请参阅 日志标记选项文档,了解如何自定义日志标记格式。 |
labels | 可选 | 以逗号分隔的标签键列表,这些标签应包含在消息中(如果这些标签是为容器指定的)。 |
labels-regex | 可选 | 与 labels 类似且兼容。用于匹配与日志相关的标签的正则表达式。用于高级 日志标记选项。 |
env | 可选 | 以逗号分隔的环境变量键列表,这些变量应包含在消息中(如果这些变量是为容器指定的)。 |
env-regex | 可选 | 与 env 类似且兼容。用于匹配与日志相关的环境变量的正则表达式。用于高级 日志标记选项。 |
如果 label
和 env
键之间存在冲突,则 env
的值优先。这两个选项都会在日志消息的属性中添加额外的字段。
以下是以 Splunk Enterprise 实例指定的日志选项示例。该实例安装在与 Docker 守护程序运行的同一台机器上的本地位置。
使用 HTTPS 方案指定指向根证书和通用名的路径。这用于验证。SplunkServerDefaultCert
由 Splunk 证书自动生成。
$ docker run \
--log-driver=splunk \
--log-opt splunk-token=176FCEBF-4CF5-4EDF-91BC-703796522D20 \
--log-opt splunk-url=https://splunkhost:8088 \
--log-opt splunk-capath=/path/to/cert/cacert.pem \
--log-opt splunk-caname=SplunkServerDefaultCert \
--log-opt tag="{{.Name}}/{{.FullID}}" \
--log-opt labels=location \
--log-opt env=TEST \
--env "TEST=false" \
--label location=west \
your/application
托管在 Splunk Cloud 上的 Splunk 实例的 splunk-url
格式为 https://http-inputs-XXXXXXXX.splunkcloud.com
,不包含端口说明符。
消息格式
有三种日志驱动程序消息格式:inline
(默认)、json
和 raw
。
默认格式为 inline
,其中每条日志消息都嵌入为字符串。例如
{
"attrs": {
"env1": "val1",
"label1": "label1"
},
"tag": "MyImage/MyContainer",
"source": "stdout",
"line": "my message"
}
{
"attrs": {
"env1": "val1",
"label1": "label1"
},
"tag": "MyImage/MyContainer",
"source": "stdout",
"line": "{\"foo\": \"bar\"}"
}
要将消息格式化为 json
对象,请设置 --log-opt splunk-format=json
。驱动程序会尝试将每行解析为 JSON 对象并将其作为嵌入对象发送。如果它无法解析消息,则会以 inline
方式发送。例如
{
"attrs": {
"env1": "val1",
"label1": "label1"
},
"tag": "MyImage/MyContainer",
"source": "stdout",
"line": "my message"
}
{
"attrs": {
"env1": "val1",
"label1": "label1"
},
"tag": "MyImage/MyContainer",
"source": "stdout",
"line": {
"foo": "bar"
}
}
要将消息格式化为 raw
,请设置 --log-opt splunk-format=raw
。属性(环境变量和标签)和标记将添加到消息的前面。例如
MyImage/MyContainer env1=val1 label1=label1 my message
MyImage/MyContainer env1=val1 label1=label1 {"foo": "bar"}
高级选项
Splunk 日志驱动程序允许您通过为 Docker 守护程序设置环境变量来配置一些高级选项。
环境变量名称 | 默认值 | 描述 |
---|---|---|
SPLUNK_LOGGING_DRIVER_POST_MESSAGES_FREQUENCY | 5s | 等待更多消息进行批处理的时间。 |
SPLUNK_LOGGING_DRIVER_POST_MESSAGES_BATCH_SIZE | 1000 | 应该积累的消息数量,以便在一次批处理中发送。 |
SPLUNK_LOGGING_DRIVER_BUFFER_MAX | 10 * 1000 | 缓冲区中用于重试的最多消息数量。 |
SPLUNK_LOGGING_DRIVER_CHANNEL_SIZE | 4 * 1000 | 用于将消息发送到后台日志记录工作程序(将消息批处理)的通道中可以容纳的最多挂起消息数量。 |