添加 Docker 元数据编辑

The add_docker_metadata 处理器使用 Docker 容器中的相关元数据对每个事件进行注释。启动时,它会检测 Docker 环境并缓存元数据。只有在检测到有效的配置并且处理器能够访问 Docker API 时,事件才会用 Docker 元数据进行注释。

每个事件都使用以下内容进行注释

  • 容器 ID
  • 名称
  • 映像
  • 标签

在容器中运行 Metricbeat 时,需要提供对 Docker 的 unix 套接字的访问权限,以便 add_docker_metadata 处理器能够正常工作。可以通过将套接字挂载到容器中来实现。例如

docker run -v /var/run/docker.sock:/var/run/docker.sock ...

为了避免权限问题,您可能还需要向 docker run 标志添加 --user=root。因为用户必须是 docker 组的成员才能访问 /var/run/docker.sock,因此如果 Metricbeat 作为非 root 用户在容器中运行,则需要 root 访问权限。

如果 Docker 守护进程重新启动,挂载的套接字将失效,元数据将停止工作,在这种情况下,有两种选择

  • 每次 Docker 重新启动时都重新启动 Metricbeat
  • 挂载整个 /var/run 目录(而不是仅挂载套接字)
processors:
  - add_docker_metadata:
      host: "unix:///var/run/docker.sock"
      #match_fields: ["system.process.cgroup.id"]
      #match_pids: ["process.pid", "process.parent.pid"]
      #match_source: true
      #match_source_index: 4
      #match_short_id: true
      #cleanup_timeout: 60
      #labels.dedot: false
      # To connect to Docker over TLS you must specify a client and CA certificate.
      #ssl:
      #  certificate_authority: "/etc/pki/root/ca.pem"
      #  certificate:           "/etc/pki/client/cert.pem"
      #  key:                   "/etc/pki/client/cert.key"

它具有以下设置

host
(可选) Docker 套接字(UNIX 或 TCP 套接字)。默认情况下,它使用 unix:///var/run/docker.sock
ssl
(可选) 连接到 Docker 套接字时要使用的 SSL 配置。
match_fields
(可选) 用于匹配容器 ID 的字段列表,其中至少一个字段应包含容器 ID,以便对事件进行丰富。
match_pids
(可选) 包含进程 ID 的字段列表。如果该进程在 Docker 中运行,则会对事件进行丰富。默认值为 ["process.pid", "process.parent.pid"]
match_source
(可选) 从 log.file.path 字段中存在的日志路径匹配容器 ID。默认情况下启用。
match_short_id
(可选) 从 log.file.path 字段中存在的日志路径匹配容器短 ID。默认情况下禁用。这允许匹配具有容器 ID 的前 12 个字符的目录名称。例如,/var/log/containers/b7e3460e2b21/*.log
match_source_index
(可选) 源路径中由 / 分隔的索引,用于查找容器 ID。默认值为 4,以匹配 /var/lib/docker/containers/<container_id>/*.log
cleanup_timeout
(可选) 非活动时间,表示我们可以清理和忘记容器的元数据,默认值为 60 秒。
labels.dedot
(可选) 默认值为 false。如果设置为 true,则将标签中的点替换为 _