Splunk 日志驱动程序

splunk日志驱动程序将容器日志发送到HTTP事件收集器在Splunk Enterprise和Splunk Cloud中。

用法

您可以配置Docker日志记录以默认方式或基于每个容器的方式使用splunk驱动程序。

要将splunk驱动程序用作默认日志驱动程序，请在daemon.json配置文件中将log-driver和log-opts键设置为适当的值，然后重新启动Docker。例如

{
  "log-driver": "splunk",
  "log-opts": {
    "splunk-token": "",
    "splunk-url": "",
    ...
  }
}

daemon.json文件位于Linux主机的/etc/docker/或Windows Server的C:\ProgramData\docker\config\daemon.json中。有关使用daemon.json配置Docker的更多信息，请参阅daemon.json。

注意

daemon.json配置文件中的log-opts配置选项必须作为字符串提供。因此，布尔值和数值（例如splunk-gzip或splunk-gzip-level的值）必须用引号（"）括起来。

要对特定容器使用splunk驱动程序，请使用命令行标志--log-driver和log-opt以及docker run

$ docker run --log-driver=splunk --log-opt splunk-token=VALUE --log-opt splunk-url=VALUE ...

Splunk选项

以下属性允许您配置Splunk日志驱动程序。

• 要配置整个Docker环境中的splunk驱动程序，请使用键"log-opts": {"NAME": "VALUE", ...}编辑daemon.json。
• 要为单个容器配置splunk驱动程序，请使用标志--log-opt NAME=VALUE ...使用docker run。

如果label和env键之间发生冲突，则env的值优先。这两个选项都会向日志消息的属性添加附加字段。

以下是为 Splunk Enterprise 实例指定的日志记录选项示例。该实例安装在运行 Docker 守护程序的同一台机器上。

根证书和通用名的路径使用 HTTPS 方案指定。这用于验证。SplunkServerDefaultCert 由 Splunk 证书自动生成。

$ docker run \
    --log-driver=splunk \
    --log-opt splunk-token=176FCEBF-4CF5-4EDF-91BC-703796522D20 \
    --log-opt splunk-url=https://splunkhost:8088 \
    --log-opt splunk-capath=/path/to/cert/cacert.pem \
    --log-opt splunk-caname=SplunkServerDefaultCert \
    --log-opt tag="{{.Name}}/{{.FullID}}" \
    --log-opt labels=location \
    --log-opt env=TEST \
    --env "TEST=false" \
    --label location=west \
    your/application

对于托管在 Splunk Cloud 上的 Splunk 实例，splunk-url 的格式类似于https://http-inputs-XXXXXXXX.splunkcloud.com，并且不包含端口说明符。

消息格式

日志驱动程序有三种消息格式：inline（默认）、json 和 raw。

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "my message"
}

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "{\"foo\": \"bar\"}"
}

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": "my message"
}

{
  "attrs": {
    "env1": "val1",
    "label1": "label1"
  },
  "tag": "MyImage/MyContainer",
  "source": "stdout",
  "line": {
    "foo": "bar"
  }
}

MyImage/MyContainer env1=val1 label1=label1 my message
MyImage/MyContainer env1=val1 label1=label1 {"foo": "bar"}

高级选项

Splunk 日志驱动程序允许您通过为 Docker 守护程序设置环境变量来配置一些高级选项。