Elasticsearch Service 容器服务 TKE 日志接入

一、前提条件

·已创建腾讯云账号，创建账号可参考 注册腾讯云。

·如使用子账号登录，请确保该账号具备 ES 的读写权限。

二、登录控制台

1. 登录 ES 控制台。

三、创建项目空间

1. 单击新建空间。

2. 输入项目空间名称，支持1 – 20个中文、英文、数字、下划线或分隔符"-"。

3. 单击确认，校验无误即可成功创建项目空间。

注意：在 ES Serverless 日志分析中，你可仅 创建索引，后续通过 API 进行数据写入或者在对应索引的“数据接入”Tab 页进行 CVM 或 TKE 等数据源接入。你也可在创建索引时同时进行数据接入，完成一站式的 CVM 日志接入、TKE 日志接入。以下为你介绍一站式的 TKE 日志接入操作。

四、容器服务 TKE 日志接入

在 ES Serverless 日志分析首页选择容器服务 TKE，进入 TKE 日志接入页面。

五、数据源设置

·所在地域：TKE集群所在的地域。

·私有网络 VPC：必选。TKE 集群所在的私有网络。

·待采集 TKE 集群 ID：必选。需采集的 TKE 集群的 ID，TKE 集群需要是运行中状态且为标准集群。如你有 Serverless 集群（EKS）日志采集的需求，请通过 工单 联系我们。

·基于命名空间/主机路径：必选。命名空间第一个下拉可选择包含/不包含，第二个下拉可选择命名空间，支持多选，不支持选择不包含全部命名空间；基于主机路径请输入主机绝对路径，例如/var/log/*.log。

·Pod 标签：选填。支持创建多个 Pod 标签，标签之间是逻辑与关系。

·容器名称：选填。填写的容器名称必须在采集目标集群及命名空间之下，为空时，Filebeat 会采集命名空间下符合 Pod 标签的全部容器。

六、采集设置

基本设置

采集策略：支持全量采集与增量采集，创建完成后，不支持修改采集策略。全量采集会将历史以及 Filebeat 配置生效后生成的日志文件采集上来；增量采集则仅采集 Filebeat 配置生效后生成的日志文件。

采集解析

采集模板：如你需快速进行设置或是体验，可根据你的日志输出格式选择对应的采集模板。确认后，你可返回界面，将日志样例修改为实际的日志数据，快速完成采集解析设置。

采集模式：支持单行以及多行，创建完成后，不支持修改采集模式。

·单行文本日志：一行日志内容为一条日志，即在日志文件中，以换行符分隔两条日志。

·多行文本日志：一条日志由多行组成，例如 Java 堆栈日志。该模式下，你需配置日志样例和行首正则表达式，Filebeat 通过行首正则表达式去匹配一条日志的行首，即确认一条日志的开头，将未匹配部分作为该条日志的一部分，直到下一个行首出现。输入日志样例后，系统将默认自动生成行首正则表达式，你也可选择自定义生成，输入框内的高亮内容为正则表达式匹配到的行首信息。

注意：请务必使用实际场景的日志，便于自动提取行首正则表达式。

提取设置：支持将提取模式设置为全文日志、JSON 格式、分隔符，创建完成后，不支持修改提取模式。详情如下：

全文日志JSON格式分隔符日志数据不做任何键值提取，日志内容将存储到名称为"message"的字段中，你可通过自动分词能力进行检索分析。例如一条单行日志原始数据为：Tue Jan 01 00:00:00 CST 2023 Running: Content of processing something则采集到索引中的数据为：massage:Tue Tue Jan 01 00:00:00 CST 2023 Running: Content of processing something对于内容为标准 JSON 格式的日志，我们可按照日志中的 Key：Value 提取对应的字段。假设你的一条 JSON 日志原始数据为：{"pid":321,"name":"App01","status":"WebServer is up and running"}经过结构化处理后，该条日志将变为如下：{ "pid":321, "name":"App01", "status":"WebServer is up and running"
}对于固定分隔符分割内容的日志，我们可按照指定分隔符对日志进行键值提取。分隔符支持单个字符或者是字符串，可在控制台选择或输入分隔符。假设你的一条日志原始数据为：321 – App01 – WebServer is up and running将分隔符指定为"-" ，该条日志会被分割成3个字段，我们可在提取结果中为这3个字段定义唯一的 Key，如下所示：pid: pidname: App01status: WebServer is up and running

提取结果：如提取模式选择为 "JSON 格式"或者"分隔符"，我们可输入日志样例，系统将自动对样例进行提取：

·如提取模式为 JSON 格式，系统默认填充提取到的 Key 与 Value，如取消勾选，对应字段将不会写入到索引中。

·如提取模式为分隔符，系统将默认填充提取到 Value，你可为每个 Value 定义唯一的 Key，如取消勾选，对应字段将不会写入到索引中。

·内置字段：在控制台配置 TKE 日志采集时，Filebeat 会将日志来源、时间戳等信息以 Key-Value 对的形式写入到日志中，这些字段是内置字段。如你业务日志中的 Key 名称与内置字段名称重复，将优先采集业务日志的字段内容，对应的内置字段则将不会写入到索引中。内置字段的含义如下：

保留原始日志：勾选后，解析提取前的原始日志内容，将保留到该字段中。

记录解析错误：如提取模式为"分隔符"，你可选择是否记录解析错误。勾选后，当解析失败时，报错信息将作为值（Value）上传到该字段中。

七、索引设置

·所属项目空间：你可将同一个业务的索引都归属到某个项目空间下以便于管理。

·索引名称：长度为1 – 100，支持小写字母,数字, -, _, ;, @, &, =, !, ', %, $, ., +, (, )。

·字段映射

·动态生成：默认开启，开启后将自动解析写入的数据，生成索引的字段设置。

·输入样例自动配置：关闭动态生成后，你可以通过输入样例自动配置来生成索引的字段映射，在输入框内输入一段JSON格式的数据样例，确定后平台将自动为你进行校验，校验无误后，相关字段将映射到字段映射的表格中。

字段映射将原始数据按字段（即 key:value）分别切分为多个分词进行索引构建，检索时基于该映射进行检索。具体如下：

·时间字段
时间字段指在实际数据中类型为 date 的字段，索引创建成功后该字段不可更改。

注意：时间字段默认打开开启索引与开启统计，且不可关闭。

·数据存储时长：

1.1 你可设置数据的存储时长，默认选择存储30天，同时也支持设置为永久保存。

1.2 信息填写无误后，单击确认创建，即可完成 TKE 日志采集。