添加进程元数据
编辑添加进程元数据编辑
add_process_metadata 处理器使用运行进程的信息来丰富事件，并通过进程 ID (PID) 识别进程。
processors:
- add_process_metadata:
match_pids:
- process.pid
添加到事件的字段如下所示
{
"container": {
"id": "b5285682fba7449c86452b89a800609440ecc88a7ba5f2d38bedfb85409b30b1"
},
"process": {
"args": [
"/usr/lib/systemd/systemd",
"--switched-root",
"--system",
"--deserialize",
"22"
],
"executable": "/usr/lib/systemd/systemd",
"name": "systemd",
"owner": {
"id": "0",
"name": "root"
},
"parent": {
"pid": 0
},
"pid": 1,
"start_time": "2018-08-22T08:44:50.684Z",
"title": "/usr/lib/systemd/systemd --switched-root --system --deserialize 22"
}
}
也可以选择包含进程环境
...
"env": {
"HOME": "/",
"TERM": "linux",
"BOOT_IMAGE": "/boot/vmlinuz-4.11.8-300.fc26.x86_64",
"LANG": "en_US.UTF-8",
}
...
它具有以下设置
-
match_pids - 要查找 PID 的字段列表。处理器将按顺序搜索列表，直到在当前事件中找到该字段，并且 PID 查找将应用于此字段的值。
-
target - （可选）将在其中创建
process对象的目标前缀。默认值为事件的根。 -
include_fields - （可选）要添加的字段列表。默认情况下，处理器将添加除
process.env之外的所有可用字段。 -
ignore_missing - （可选）如果设置为
false，则不包含 match_pids 中任何字段的事件将被丢弃，并且会生成错误。默认情况下，此条件将被忽略。 -
overwrite_keys - （可选）默认情况下，如果目标字段已存在，则不会覆盖它，并且会记录错误。如果将
overwrite_keys设置为true，则此条件将被忽略。 -
restricted_fields - （可选）默认情况下，不会输出
process.env字段，以避免泄露敏感数据。如果restricted_fields为true，则该字段将出现在输出中。 -
host_path - （可选）默认情况下，
host_path字段设置为主机的根目录/。这是挂载/proc的路径。对于 Kubernetes 或 Docker 的不同运行时配置，可以设置host_path来覆盖默认值。 -
cgroup_prefixes - （可选）将与 cgroup 路径匹配的前缀列表。当 cgroup 路径以列表中的前缀开头时，则路径的最后一个元素将作为容器 ID 返回。应该只配置
cgroup_prefixes和cgroup_rexex中的一个。如果两者都没有配置，则使用默认的cgroup_regex值，该值匹配包含 64 个字符的容器 ID（例如来自 Docker、Kubernetes 和 Podman 的容器 ID）的 cgroup 路径。 -
cgroup_regex - （可选）将与 cgroup 路径匹配的正则表达式。它必须包含一个捕获组。当 cgroup 路径与正则表达式匹配时，则捕获组的值将作为容器 ID 返回。应该只配置
cgroup_prefixes和cgroup_rexex中的一个。如果两者都没有配置，则使用默认的cgroup_regex值，该值匹配包含 64 个字符的容器 ID（例如来自 Docker、Kubernetes 和 Podman 的容器 ID）的 cgroup 路径。 -
cgroup_cache_expire_time - （可选）默认情况下，
cgroup_cache_expire_time设置为 30 秒。这是 cgroup 缓存元素在几秒钟后过期的时长。可以将其设置为 0 以禁用 cgroup 缓存。在某些容器运行时技术（如 runc）中，容器的进程也是主机内核中的进程，并且会受到 PID 翻转/重用的影响。过期时间需要设置得小于 PID 回绕时间，以避免错误的容器 ID。