› ›

添加 Docker 元数据

编辑

添加 Docker 元数据

编辑

收集日志和指标的输入默认使用此处理器，因此您无需显式配置它。

add_docker_metadata 处理器使用 Docker 容器的相关元数据来注释每个事件。启动时，处理器会检测 Docker 环境并缓存元数据。

要使用 Docker 元数据注释事件，配置必须有效，并且处理器必须能够访问 Docker API。

每个事件都用以下内容进行注释：

容器 ID
名称
镜像
标签

在容器中运行 Elastic Agent 时，需要提供对 Docker 的 Unix 套接字的访问权限，才能使 add_docker_metadata 处理器正常工作。可以通过在容器内挂载套接字来实现此目的。例如：

docker run -v /var/run/docker.sock:/var/run/docker.sock ...

为了避免权限问题，您可能还需要向 docker run 标志添加 --user=root。因为用户必须是 Docker 组的一部分才能访问 /var/run/docker.sock，所以如果 Elastic Agent 在容器内以非 root 用户身份运行，则需要 root 访问权限。

如果 Docker 守护进程重新启动，则挂载的套接字将失效，元数据将停止工作。发生这种情况时，您可以执行以下操作之一：

每次 Docker 重新启动时都重新启动 Elastic Agent
挂载整个 /var/run 目录（而不仅仅是套接字）

示例

编辑

  - add_docker_metadata:
      host: "unix:///var/run/docker.sock"
      #match_fields: ["system.process.cgroup.id"]
      #match_pids: ["process.pid", "process.parent.pid"]
      #match_source: true
      #match_source_index: 4
      #match_short_id: true
      #cleanup_timeout: 60
      #labels.dedot: false
      # To connect to Docker over TLS you must specify a client and CA certificate.
      #ssl:
      #  certificate_authority: "/etc/pki/root/ca.pem"
      #  certificate:           "/etc/pki/client/cert.pem"
      #  key:                   "/etc/pki/client/cert.key"

配置设置

编辑

Elastic Agent 处理器在摄取管道 *之前* 执行，这意味着它们处理原始事件数据而不是发送到 Elasticsearch 的最终事件。有关相关限制，请参阅使用处理器的某些限制是什么？

名称	必需	默认值	描述
`host`	否	`unix:///var/run/docker.sock`	Docker 套接字（UNIX 或 TCP 套接字）。
`ssl`	否		连接到 Docker 套接字时要使用的 SSL 配置。有关可用设置的列表，请参阅 SSL/TLS，特别是表 7，“常见的配置选项” 和表 8，“客户端配置选项” 下的设置。
`match_fields`	否		用于匹配容器 ID 的字段列表。至少一个字段必须包含容器 ID，才能使事件得到丰富。
`match_pids`	否	`["process.pid", "process.parent.pid"]`	包含进程 ID 的字段列表。如果进程在 Docker 中运行，则事件将得到丰富。
`match_source`	否	`true`	是否从 `log.file.path` 字段中存在的日志路径匹配容器 ID。
`match_short_id`	否	`false`	是否从 `log.file.path` 字段中存在的日志路径匹配容器短 ID。此设置允许您匹配包含容器 ID 前 12 个字符的目录名称。例如，`/var/log/containers/b7e3460e2b21/*.log`。
`match_source_index`	否	`4`	源路径中以正斜杠 (`/`) 分隔的索引，用于查找容器 ID。例如，默认值 `4` 匹配 `/var/lib/docker/containers/<container_id>/*.log` 中的容器 ID。
`cleanup_timeout`	否	`60s`	容器元数据被清理和遗忘之前的非活动时间。
`labels.dedot`	否	`false`	是否用下划线 (`_`) 替换标签中的点 (`.`)。

« 添加 Cloud Foundry 元数据添加字段 »