Logstash对接Loki后，Grafana中日志生成器日志标签异常求助

核心问题分析 #

• 日志来源挂载缺失：当前Logstash的StatefulSet未挂载日志生成器的日志目录，input配置的/var/log/*.log是Logstash容器自身的日志路径，相当于你在收集Logstash自己的日志，而非日志生成器的日志。
• Loki输出无专属标签：Logstash的Loki输出插件默认会使用host这类通用标签，若未给日志生成器的日志设置专属标识，就会和Grafana的默认标签规则冲突，导致归类错误。
• Kubernetes元数据逻辑无效：filter里的if [kubernetes]分支只处理带Kubernetes元数据的日志，但当前读取的是本地文件，日志里不存在kubernetes字段，这部分代码完全不生效，无法通过容器/命名空间区分日志来源。

修复步骤 #

1. 挂载日志生成器的日志目录 #

修改StatefulSet的卷配置，添加日志生成器的日志挂载（以下以HostPath为例，需根据实际存储方式调整）：

# 在StatefulSet的spec.template.spec.volumes中新增
- name: generator-logs
  hostPath:
    path: /实际路径/日志生成器/logs  # 替换为日志生成器的真实日志目录
    type: Directory

# 在containers.volumeMounts中新增
- name: generator-logs
  mountPath: /var/log/generator  # 容器内的挂载路径

同步修改Logstash的input路径：

input {
  file {
     path => ["/var/log/generator/*.log"]  # 指向挂载后的日志生成器目录
     start_position => "beginning"
     ignore_older => 0
     sincedb_path => "/dev/null"
   }
}

2. 为日志生成器日志添加专属标签 #

在filter或output阶段添加自定义标签，让Loki能精准识别日志来源：

方式一：在filter中添加固定标签

filter {
  # 匹配日志生成器的路径，添加专属标签
  if [path] =~ "/var/log/generator/" {
    mutate {
      add_field => {
        "log_source" => "generator"
        "container_name" => "log-generator"
        "namespace" => "你的命名空间"  # 替换为日志生成器所在的K8s命名空间
      }
    }
  }
  # 保留原有移除tags的逻辑
  mutate {
    remove_field => ["tags"]
  }
}

方式二：在Loki输出中直接指定标签

output {
  stdout { codec => rubydebug}
  loki {
    url => "http://loki-loki-distributed-distributor.loki-benchmark.svc.cluster.local:3100/loki/api/v1/push"
    # 强制添加专属标签
    labels => {
      "log_source" => "generator"
      "container" => "log-generator"
    }
  }
}

3. 清理无效代码 #

因为当前读取的是本地文件，日志里没有kubernetes字段，if [kubernetes]分支永远不会执行，可直接删除这部分冗余代码：

# 删除以下无效代码块
# if [kubernetes] {
#   mutate {
#     add_field => {
#       "container_name" => "%{[kubernetes][container][name]}"
#       "namespace" => "%{[kubernetes][namespace]}"
#       "pod" => "%{[kubernetes][pod][name]}"
#     }
#     replace => { "host" => "%{[kubernetes][node][name]}"}
#   }
# }

内容的提问来源于stack exchange，提问作者boycod3