Filebeat无法采集标注co.elastic.logs/enabled:"true"的Pod日志求助

1. 移除node字段的硬编码限制 #

你给Filebeat自动发现配置里加了node: "minikube"，这会让它只监听minikube节点上的Pod。哪怕是单节点minikube环境，硬编码也可能导致识别异常，直接删掉这行，让它自动监听所有节点的Pod：

filebeat.autodiscover:
  providers:
    - type: kubernetes
      # 删除 node: "minikube" 这一行
      hints:
        enabled: true
        default_config:
          enabled: false
          type: container
          paths:
            - "/var/log/containers/*${data.kubernetes.container.id}.log"

2. 修正日志路径模板 #

/var/log/containers下的日志文件都是指向/var/log/pods的符号链接，你当前的路径模板可能无法正确匹配。建议换成基于Pod UID和容器名的路径，同时添加symlinks: true确保Filebeat跟随符号链接：

default_config:
  enabled: false
  type: container
  symlinks: true
  paths:
    - "/var/log/pods/*${data.kubernetes.pod.uid}*/${data.kubernetes.container.name}/*.log"

3. 验证Pod注解的有效性 #

确保co.elastic.logs/enabled: "true"注解是直接添加在运行中的Pod对象上的：如果是通过Deployment/StatefulSet创建的Pod，必须把注解写在spec.template.metadata.annotations里，而非Deployment自身的元数据中。用以下命令验证：

kubectl get pods <你的Pod名称> -o jsonpath='{.metadata.annotations.co\.elastic\.logs/enabled}'

输出应为"true"才说明注解生效。

4. 检查文件权限与挂载 #

虽然你已经挂载了三个日志目录，但需要确认root用户（你配置了runAsUser: 0）能正常读取这些目录。进入Filebeat Pod验证：

kubectl exec -n elastic-system <Filebeat DaemonSet Pod名称> -- ls -l /var/log/pods

能正常列出目录则权限无问题。

5. 查看Filebeat日志定位问题 #

直接查看Filebeat的运行日志，找自动发现相关的错误或警告：

kubectl logs -n elastic-system <Filebeat DaemonSet Pod名称> -f

如果看到Failed to fetch pod metadata或Path not found这类日志，可直接定位具体问题。

6. 确认ServiceAccount权限 #

jaegerpoc-elastic-beat-sa这个ServiceAccount需要有访问Kubernetes API获取Pod元数据的权限，对应的ClusterRole必须包含以下规则：

apiGroups: [""]
resources: ["pods", "namespaces"]
verbs: ["get", "list", "watch"]

权限不足的话，更新ClusterRole并重新绑定到ServiceAccount即可。

内容的提问来源于stack exchange，提问作者Sayantan Das