Docker容器中保留独立audit.log日志的方法咨询（对接K8s/FluentD/ES）

针对你的场景，下面分Docker单机和K8s集群两种环境给出具体实现方案：

一、Docker单机环境保留独立audit.log #

核心思路是通过卷挂载将容器内的Jboss日志目录映射到宿主机，让audit.log脱离容器的stdout日志流，同时持久化到宿主机：

1. 先确认${jboss.server.log.dir}在容器内的实际路径（通常Jboss默认是/opt/jboss/standalone/log）
2. 运行容器时添加卷挂载参数：

   docker run -v /宿主机存储路径/audit-logs:/opt/jboss/standalone/log your-jboss-app-image
   

   容器内生成的audit.log会同步到宿主机指定路径，保持独立存储，不会混入Docker的默认输出日志。

二、K8s集群环境适配FluentD采集 #

这是你的最终目标，推荐两种主流实现方式：

方式1：挂载日志目录+FluentD采集文件 #

通过K8s卷挂载让audit.log持久化，再配置FluentD监听该目录采集日志：

1. 配置Deployment的卷挂载

在Pod模板中挂载Jboss日志目录，可选择临时存储（EmptyDir）或持久化存储（PVC）：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: jboss-audit-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: jboss-audit
  template:
    metadata:
      labels:
        app: jboss-audit
    spec:
      containers:
      - name: jboss-app
        image: your-jboss-app-image
        volumeMounts:
        - name: audit-log-volume
          mountPath: /opt/jboss/standalone/log  # 对应log4j配置中的日志目录
      volumes:
      - name: audit-log-volume
        emptyDir: {}  # 临时存储，Pod销毁后日志丢失；如需持久化替换为PVC
        # persistentVolumeClaim:
        #   claimName: audit-log-pvc

2. 配置FluentD采集规则

在FluentD的DaemonSet配置中添加针对audit.log的采集逻辑：

<source>
  @type tail
  path /var/lib/kubelet/pods/*/volumes/kubernetes.io~empty-dir/audit-log-volume/audit.log  # 用通配符匹配所有Pod的日志路径
  pos_file /var/log/fluentd/jboss-audit.pos
  tag jboss.audit
  <parse>
    @type none  # 你的log4j格式为%m%n，无需额外解析
  </parse>
</source>

<match jboss.audit>
  @type elasticsearch
  host elasticsearch-service.default.svc.cluster.local
  port 9200
  index_name jboss-audit-%Y.%m.%d
  type_name _doc
</match>

注意：需确保FluentD的DaemonSet拥有访问节点上Pod日志目录的RBAC权限。

方式2：将audit.log定向到独立标准流+FluentD按标签过滤 #

修改log4j配置，将audit日志输出到容器的自定义文件描述符，再通过命令重定向到标准流，最后让FluentD按标签区分采集：

1. 修改log4j的Appender配置

将文件路径改为容器的文件描述符（如/proc/self/fd/3）：

<appender name="AUDIT" class="org.jboss.logging.appender.RollingFileAppender">
  <errorHandler class="org.jboss.logging.util.OnlyOnceErrorHandler"/>
  <param name="File" value="/proc/self/fd/3"/>
  <param name="Append" value="true"/>
  <param name="MaxFileSize" value="100MB"/>
  <param name="MaxBackupIndex" value="10"/>

  <layout class="org.apache.log4j.PatternLayout">
    <param name="ConversionPattern" value="%m%n"/>
  </layout>
</appender>

2. 配置容器启动命令

在Dockerfile或K8s Deployment中添加重定向逻辑：

# K8s Deployment中的容器配置示例
containers:
- name: jboss-app
  image: your-jboss-app-image
  command: ["/bin/sh", "-c"]
  args: ["exec /opt/jboss/bin/standalone.sh 3>&1"]

3. FluentD按标签过滤采集

在FluentD配置中通过tag或日志内容区分audit日志，发送到ES的独立索引即可。

三、关键注意事项 #

• 确保Jboss容器内的运行用户对日志目录/文件描述符有读写权限，避免日志写入失败
• 使用RollingFileAppender时，容器内的日志滚动策略依然生效，需注意卷挂载后的文件权限问题
• K8s环境下，FluentD DaemonSet需配置RBAC权限以访问节点上的Pod资源和日志目录

内容的提问来源于stack exchange，提问作者codi05ro