Kubernetes环境下如何追踪文件系统中访问量最高的文件？

以下是几种适配K8s环境的可行方案，覆盖不同场景需求：

1. 基于eBPF的内核级追踪 #

eBPF可直接在内核层拦截openat、read等文件系统相关系统调用，无需修改应用或容器配置，就能精准统计文件访问次数。

• 部署方式：用DaemonSet在每个节点上运行包含bpftrace、bcc等eBPF工具的特权容器，需挂载/sys/kernel/debug目录，并赋予CAP_BPF、CAP_PERFMON权限。
• 示例脚本：用bpftrace统计文件访问次数：

  tracepoint:syscalls:sys_enter_openat {
    @count[args->filename] = count();
  }
  
  interval:s:10 {
    print(@count);
    clear(@count);
  }
  

• 注意：节点内核版本需≥4.15（支持eBPF），容器需运行在特权模式或拥有足够内核权限。

2. 应用层埋点统计 #

如果是自主开发的应用，直接在代码中添加文件访问统计逻辑是最精准的方式：

• 在文件读写操作的代码分支中增加计数逻辑，将统计数据上报到Prometheus等监控系统，再通过Grafana可视化Top N访问文件。
• 无需依赖内核或容器特权，仅需调整应用代码，适合对特定文件访问有明确需求的场景。

3. Sidecar容器+fatrace工具 #

借助基于fanotify内核机制的fatrace工具，可追踪文件系统访问事件，通过Sidecar与业务容器共享存储卷实现监控：

• 部署Sidecar容器，与业务容器挂载同一存储卷，赋予容器CAP_SYS_ADMIN权限以启用fanotify。
• 运行fatrace -c命令，该命令会统计每个文件的访问次数并输出汇总结果，也可将结果写入日志供后续分析。
• 局限性：fanotify不支持部分网络存储，且容器需具备较高权限。

4. 存储层日志/Metrics分析 #

如果业务使用Ceph、NFS、AWS EBS等分布式存储，可直接利用存储系统自带的访问日志或Metrics功能：

• 例如配置NFS服务器记录所有文件访问请求，通过分析日志统计访问次数；Ceph RGW提供访问日志接口，可提取文件访问数据。
• 无需修改容器或应用，仅需配置存储系统，适合依赖外部存储的场景。

内容的提问来源于stack exchange，提问作者Shri Javadekar