如何配置Fleet管控的Elastic Agent忽略指定Pod日志采集？

以下是几种适用于Fleet管控场景的有效方案：

方案一：通过处理器直接过滤日志 #

进入Kibana的Fleet界面，找到对应的Agent策略，打开已配置的Kubernetes日志集成：

• 切换到「处理器」标签，添加drop处理器，通过Pod的属性匹配要排除的目标：
  示例（匹配特定Pod名称或命名空间）：

  - drop:
      if: "kubernetes.pod.name == 'target-pod' || kubernetes.namespace == 'unwanted-ns'"
  

  示例（匹配特定Pod标签）：

  - drop:
      if: "kubernetes.labels['app.kubernetes.io/name'] == 'exclude-app'"
  

• 保存策略，等待Agent同步配置后，符合条件的日志会被直接丢弃。

方案二：缩小集成的采集范围 #

在Kubernetes日志集成的配置界面，找到「采集设置」模块：

• 可直接设置「排除的Pod名称」，支持通配符（如test-*），填写需要排除的Pod名称；
• 或通过「包含的命名空间」「包含的Pod标签」反向限定采集范围，只保留需要的Pod日志，间接排除冗余目标。

方案三：启用Pod注解支持（修正你之前的方法） #

你之前尝试的注解方案无效，是因为Fleet集成默认没开启注解覆盖：

• 在Kubernetes日志集成的「高级选项」中，开启「使用Pod注解覆盖配置」；
• 给需要排除的Pod添加注解：co.elastic.logs/enabled: "false"（注意引号，避免YAML解析异常）；
• 保存配置后，Agent会识别该注解并停止采集对应Pod的日志。

注意事项 #

• 配置修改后，Agent通常需要1-5分钟同步策略，可通过Kibana的「Agent状态」页面查看同步进度；
• 可在Discover页面验证日志是否已停止采集，或查看Agent日志确认配置生效情况。

内容的提问来源于stack exchange，提问作者MattIz