如何配置Fluentd与Elasticsearch处理集群中的单行及多行日志

核心思路是利用Fluentd的标签路由+Kubernetes元数据过滤，为Java容器单独启用多行日志合并规则，其他单行日志容器直接沿用原有处理逻辑，互不干扰。

1. 先确保获取Kubernetes容器元数据 #

Fluentd的kubernetes_metadata插件会自动给每条日志事件打上容器名称、命名空间、Pod标签等元数据，这是区分不同容器的基础。先确认配置里加载了该插件：

<source>
  @type tail
  path /var/log/containers/*.log
  pos_file /var/log/fluentd-containers.log.pos
  tag kubernetes.*
  read_from_head true
  <parse>
    @type json
    time_key time
    time_format %Y-%m-%dT%H:%M:%S.%NZ
  </parse>
</source>

<filter kubernetes.**>
  @type kubernetes_metadata
</filter>

2. 为Java容器配置多行解析 #

添加过滤规则，匹配Java容器的日志（通过容器名称/命名空间/Pod标签都可以），应用多行合并逻辑：

<filter kubernetes.**>
  @type grep
  <!-- 匹配你的Java容器名称，多个用|分隔 -->
  <regexp>
    key kubernetes.container.name
    pattern /java-app|spring-boot-service/
  </regexp>
  <filter>
    @type multiline
    <pattern>
      <!-- 匹配Java日志的起始行：比如Spring Boot默认日志以日期开头 -->
      format_firstline /^\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\.\d+/
      <!-- 定义日志格式，根据实际情况调整 -->
      format /^(?<time>\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\.\d+)\s+(?<level>[A-Z]+)\s+(?<message>.*)/
      <!-- 5秒内无新行就触发合并，避免日志延迟太久 -->
      multiline_flush_interval 5s
    </pattern>
  </filter>
</filter>

提示：如果你的Java日志异常行是以空格/制表符开头，可以把format_firstline改成匹配非空白开头的行，异常行自动归到上一条日志：format_firstline /^[^\s]/

3. 处理单行日志（Nginx、Python等） #

对非Java容器的日志，跳过多行解析，按需配置单行日志的解析规则（比如Nginx的日志格式）：

<filter kubernetes.**>
  @type grep
  <!-- 排除Java容器，处理剩下的所有容器 -->
  <exclude>
    key kubernetes.container.name
    pattern /java-app|spring-boot-service/
  </exclude>
  <!-- 以Nginx为例，用内置解析器解析日志 -->
  <filter>
    @type parser
    key_name log
    <parse>
      @type nginx
    </parse>
  </filter>
</filter>

4. 统一转发到Elasticsearch #

最后把所有处理后的日志统一发送到ES：

<match kubernetes.**>
  @type elasticsearch
  host elasticsearch-master
  port 9200
  index_name fluentd-kubernetes-%Y%m%d
  logstash_format true
</match>

5. 验证与更新 #

修改Fluentd DaemonSet的配置后，滚动更新Pod生效：

kubectl rollout restart daemonset fluentd -n kube-system

之后去Kibana检查：Java的多行异常应该合并成单条日志，Nginx等单行日志也正常入库。

内容的提问来源于stack exchange，提问作者Vahid