kubernetes集群中Filebeat收集容器日志到elasticsearch失敗的排查與解決
本文分析一個在Kubernetes環境下，Filebeat無法將容器控制臺日志寫入Elasticsearch索引“test_index1”的問題。Filebeat已成功啟動并監控/app/logs/*.jar.log路徑，但Elasticsearch索引大小未變化，且Filebeat啟動日志顯示無法連接Elasticsearch。
問題根源在于Filebeat配置文件中指定的日志路徑/app/logs/*.jar.log與容器日志實際存儲位置不一致。/app/logs/*.jar.log位于宿主機，而容器日志存儲在容器內部的文件系統中，Filebeat運行在宿主機上，無法直接訪問容器內部文件系統。
解決方案：主機目錄掛載
解決方法是將/app/logs/*.jar.log路徑掛載到容器內部。 Filebeat需要訪問的日志文件必須位于容器和宿主機都能訪問的共享目錄中。 這需要在Kubernetes的Pod定義中使用volumeMounts和volumes配置實現主機目錄掛載。 每個需要訪問主機目錄的容器都需要單獨進行掛載配置。
如果需要在宿主機上直接查看容器日志，則需將宿主機目錄掛載到容器的日志目錄。反之，如果容器需要將日志寫入宿主機，也必須先將宿主機目錄掛載到容器內。只有這樣，容器才能寫入到宿主機可見的目錄，否則日志只能寫入容器內部文件系統，宿主機無法訪問。 如果Pod包含多個容器，每個需要訪問主機特定目錄的容器都必須單獨配置掛載。
通過正確的卷掛載配置，Filebeat就能訪問容器日志，并將它們成功發送到Elasticsearch。 請確保Filebeat的配置文件中的路徑與掛載后的路徑一致。
