Windows主机下如何用Promtail采集Docker Events日志？

一、核心问题说明 #

你的现有配置仅能抓取带logging=promtail标签的容器日志，但**Docker Events（守护进程生成的容器启停、创建等事件）**无法通过Docker服务发现直接采集，需要额外配置；同时Windows下Docker Socket的路径与Linux不同，需先修正这个基础问题。

二、分步配置实现 #

1. 修正Windows下Docker Socket路径 #

Windows Docker的Socket路径需根据运行模式调整：

• WSL2后端：使用unix:///var/run/docker.sock（适用于Promtail运行在WSL容器内的场景）
• Hyper-V原生后端：使用npipe:////./pipe/docker_engine

修改现有配置中docker_sd_configs的host字段，以Hyper-V后端为例：

docker_sd_configs:
  - host: npipe:////./pipe/docker_engine
    refresh_interval: 5s
    filters:
      - name: label
        values: ["logging=promtail"]

2. 配置Docker Events采集 #

Docker Events需通过docker events命令持续输出，再由Promtail抓取，提供两种实现方式：

方式一：Promtail直接执行命令采集

在scrape_configs中新增一个任务，直接调用docker events并收集输出：

scrape_configs:
  # 原有容器日志采集任务
  - job_name: flog_scrape 
    docker_sd_configs:
      - host: npipe:////./pipe/docker_engine
        refresh_interval: 5s
        filters:
          - name: label
            values: ["logging=promtail"] 
    relabel_configs:
      - source_labels: ['__meta_docker_container_name']
        regex: '/(.*)'
        target_label: 'container'
      - source_labels: ['__meta_docker_container_log_stream']
        target_label: 'logstream'
      - source_labels: ['__meta_docker_container_label_logging_jobname']
        target_label: 'job'

  # 新增Docker Events采集任务
  - job_name: docker_events
    static_configs:
      - targets: ['localhost']
        labels:
          job: docker_events
          __path__: 'C:/temp/docker_events.log' # 指定临时日志文件路径
    exec:
      # Windows下需确保docker命令在PATH中，或写全路径如"C:/Program Files/Docker/Docker/resources/bin/docker.exe"
      command: "docker events --format '{{json .}}'"
      stdout: true
      stderr: true

方式二：脚本导出日志后采集

如果不想让Promtail直接执行命令，可通过PowerShell脚本持续导出Docker Events到文件：

# docker_events.ps1
docker events --format '{{json .}}' >> C:\temp\docker_events.log

执行Start-Job -ScriptBlock { .\docker_events.ps1 }让脚本后台运行，再在Promtail中新增采集任务：

- job_name: docker_events_file
  static_configs:
    - targets: ['localhost']
      labels:
        job: docker_events
        __path__: 'C:/temp/docker_events.log'

3. 配置Promtail运行权限（Windows关键） #

• 主机直接运行Promtail：必须以管理员身份启动，否则无法访问npipe:////./pipe/docker_engine
• 容器运行Promtail：需挂载Windows的Docker Socket到容器内，启动命令示例：

docker run -d --name promtail `
  -v C:/path/to/your/promtail.yaml:/etc/promtail/promtail.yaml `
  -v //./pipe/docker_engine://./pipe/docker_engine `
  -v C:/temp:/temp ` # 若用文件方式采集Docker Events，需挂载该目录
  grafana/promtail:latest --config.file=/etc/promtail/promtail.yaml

4. 验证配置 #

启动Promtail后，在Loki中检查两类日志是否正常接收：

• 带logging=promtail标签的容器日志
• 带job=docker_events标签的Docker事件日志（如容器create、start、stop等）

三、额外优化建议 #

• 给Docker Events添加主机标签：在static_configs的labels中加入host: your_windows_hostname，方便多主机日志过滤
• 持久化positions文件：若用容器运行Promtail，将/tmp/positions.yaml挂载到主机目录（如-v C:/temp/promtail:/tmp），避免重启后丢失日志采集位置
• 解析Docker Events的JSON格式：在docker_events任务中添加pipeline_stages，方便Loki查询：

- job_name: docker_events
  static_configs:
    - targets: ['localhost']
      labels:
        job: docker_events
        __path__: 'C:/temp/docker_events.log'
  pipeline_stages:
    - json:
        expressions:
          type: Type
          action: Action
          container_id: Actor.ID
          container_name: Actor.Attributes.name
    - labels:
        type:
        action:
        container_id:
        container_name:

内容的提问来源于stack exchange，提问作者Bart