添加进程元数据
编辑添加进程元数据
编辑add_process_metadata 处理器使用其进程 ID (PID) 识别正在运行的进程，并用来自这些进程的信息丰富事件。
processors:
- add_process_metadata:
match_pids:
- process.pid
添加到事件中的字段如下所示
{
"container": {
"id": "b5285682fba7449c86452b89a800609440ecc88a7ba5f2d38bedfb85409b30b1"
},
"process": {
"args": [
"/usr/lib/systemd/systemd",
"--switched-root",
"--system",
"--deserialize",
"22"
],
"executable": "/usr/lib/systemd/systemd",
"name": "systemd",
"owner": {
"id": "0",
"name": "root"
},
"parent": {
"pid": 0
},
"pid": 1,
"start_time": "2018-08-22T08:44:50.684Z",
"title": "/usr/lib/systemd/systemd --switched-root --system --deserialize 22"
}
}
还可以选择性地包含进程环境。
...
"env": {
"HOME": "/",
"TERM": "linux",
"BOOT_IMAGE": "/boot/vmlinuz-4.11.8-300.fc26.x86_64",
"LANG": "en_US.UTF-8",
}
...
它具有以下设置
-
match_pids - 用于查找 PID 的字段列表。处理器将依次搜索该列表，直到在当前事件中找到该字段，然后将 PID 查找应用于该字段的值。
-
target - (可选) 将创建
process对象的目标前缀。默认情况下为事件的根。 -
include_fields - (可选) 要添加的字段列表。默认情况下，处理器将添加所有可用字段，但
process.env除外。 -
ignore_missing - (可选) 当设置为
false时，不包含 match_pids 中任何字段的事件将被丢弃，并且会生成错误。默认情况下，忽略此条件。 -
overwrite_keys - (可选) 默认情况下，如果目标字段已存在，则不会覆盖它，并且会记录错误。如果将
overwrite_keys设置为true，则会忽略此条件。 -
restricted_fields - (可选) 默认情况下，不会输出
process.env字段，以避免泄露敏感数据。如果restricted_fields为true，则该字段将出现在输出中。 -
host_path - (可选) 默认情况下，
host_path字段设置为主机根目录/。这是挂载/proc的路径。对于 Kubernetes 或 Docker 的不同运行时配置，可以设置host_path以覆盖默认值。 -
cgroup_prefixes - (可选) 将与 cgroup 路径匹配的前缀列表。当 cgroup 路径以列表中的前缀开头时，路径的最后一个元素将作为容器 ID 返回。仅应配置
cgroup_prefixes和cgroup_rexex中的一个。如果两者都没有配置，则将使用默认的cgroup_regex值，该值匹配包含 64 字符容器 ID 的 cgroup 路径（例如来自 Docker、Kubernetes 和 Podman 的路径）。 -
cgroup_regex - (可选) 将与 cgroup 路径匹配的正则表达式。它必须包含一个捕获组。当 cgroup 路径与正则表达式匹配时，捕获组的值将作为容器 ID 返回。仅应配置
cgroup_prefixes和cgroup_rexex中的一个。如果两者都没有配置，则将使用默认的cgroup_regex值，该值匹配包含 64 字符容器 ID 的 cgroup 路径（例如来自 Docker、Kubernetes 和 Podman 的路径）。 -
cgroup_cache_expire_time - (可选) 默认情况下，
cgroup_cache_expire_time设置为 30 秒。这是 cgroup 缓存元素过期前的时间长度（以秒为单位）。可以将其设置为 0 以禁用 cgroup 缓存。在某些容器运行时技术（如 runc）中，容器的进程也是主机内核中的进程，并且会受到 PID 循环/重用影响。过期时间需要设置为小于 PID 循环时间，以避免错误的容器 ID。