Kubernetes中Filebeat收集容器日志失敗，如何正確配置卷掛載？

本文分析在kubernetes集群中使用Filebeat收集容器日志并寫入elasticsearch時遇到的問題：Filebeat服務正常運行，但日志無法寫入Elasticsearch索引“test_index1”，且Filebeat日志顯示連接ES失敗。

問題根源在于Filebeat配置的日志路徑/app/logs/*.jar.log與容器實際日志位置不符。Filebeat運行在Kubernetes節點主機上，而容器內的日志文件對主機不可見，除非通過卷掛載（Volume Mount）將容器日志目錄映射到主機可訪問的路徑。

容器與主機文件系統相互隔離，Filebeat無法直接讀取容器日志。要解決此問題，需要執行以下步驟：

1. 卷掛載配置： 修改容器的部署文件（例如Deployment YAML），添加卷掛載，將容器內的日志目錄映射到主機上的一個目錄（例如/var/log/containers）。 這需要在容器的定義中添加一個volumeMounts字段，以及在volumes字段中定義卷。

2. Filebeat配置修改： 修改Filebeat配置文件，使其監控步驟1中主機上掛載的目錄，而不是/app/logs/*.jar.log。 這將確保Filebeat能夠訪問容器的日志文件。

只有正確配置卷掛載并修改Filebeat配置文件后，Filebeat才能成功收集容器日志并寫入Elasticsearch。 請注意，每個需要Filebeat訪問日志的容器都需要單獨配置卷掛載。 如果需要在主機上直接查看日志，則需要將主機目錄掛載到容器的日志目錄。 這需要仔細規劃和配置Kubernetes的卷管理機制。