Splunk 日志驱动

splunk 日志驱动将容器日志发送到 Splunk Enterprise 和 Splunk Cloud 中的 HTTP Event Collector。

用法

你可以配置 Docker 日志使用 splunk 驱动作为默认设置或针对每个容器。

要将 splunk 驱动用作默认日志驱动，请在 daemon.json 配置文件中将 log-driver 和 log-opts 键设置为适当的值，并重启 Docker。例如

{
  "log-driver": "splunk",
  "log-opts": {
    "splunk-token": "",
    "splunk-url": "",
    ...
  }
}

daemon.json 文件位于 Linux 主机上的 /etc/docker/ 或 Windows Server 上的 C:\ProgramData\docker\config\daemon.json。有关使用 daemon.json 配置 Docker 的更多信息，请参阅 daemon.json。

注意

daemon.json 配置文件中的 log-opts 配置选项必须提供为字符串。因此，布尔值和数值（例如 splunk-gzip 或 splunk-gzip-level 的值）必须用引号 (") 括起来。

要针对特定容器使用 splunk 驱动，请在 docker run 命令中使用命令行标志 --log-driver 和 log-opt

$ docker run --log-driver=splunk --log-opt splunk-token=VALUE --log-opt splunk-url=VALUE ...

Splunk 选项

以下属性允许你配置 Splunk 日志驱动。

• 要在整个 Docker 环境中配置 splunk 驱动，请编辑 daemon.json，使用键 "log-opts": {"NAME": "VALUE", ...}。
• 要为单个容器配置 splunk 驱动，请在 docker run 命令中使用标志 --log-opt NAME=VALUE ...。

如果 label 和 env 键之间存在冲突，env 的值具有优先权。这两个选项都会为日志消息的属性添加额外字段。

以下是为 Splunk Enterprise 实例指定的日志选项示例。该实例本地安装在 Docker Daemon 运行的同一机器上。

使用 HTTPS 方案指定了根证书路径和 Common Name。这用于验证。SplunkServerDefaultCert 由 Splunk 证书自动生成。

$ docker run \
    --log-driver=splunk \
    --log-opt splunk-token=176FCEBF-4CF5-4EDF-91BC-703796522D20 \
    --log-opt splunk-url=https://splunkhost:8088 \
    --log-opt splunk-capath=/path/to/cert/cacert.pem \
    --log-opt splunk-caname=SplunkServerDefaultCert \
    --log-opt tag="{{.Name}}/{{.FullID}}" \
    --log-opt labels=location \
    --log-opt env=TEST \
    --env "TEST=false" \
    --label location=west \
    your/application

托管在 Splunk Cloud 上的 Splunk 实例的 splunk-url 格式类似于 https://http-inputs-XXXXXXXX.splunkcloud.com，并且不包含端口说明符。

消息格式

有三种日志驱动消息格式：inline（默认）、json 和 raw。

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "my message"
}

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "{\"foo\": \"bar\"}"
}

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "my message"
}

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": {
    "foo": "bar"
  }
}

MyImage/MyContainer env1=val1 label1=label1 my message
MyImage/MyContainer env1=val1 label1=label1 {"foo": "bar"}

高级选项

Splunk 日志驱动允许你通过为 Docker Daemon 设置环境变量来配置一些高级选项。