如何让Elasticsearch正确解析Nginx Ingress Controller的503状态码

1. 统一Nginx Ingress日志格式配置 #

503是Ingress Controller自身返回的错误响应，默认情况下，这类日志的格式可能和后端转发请求的日志存在差异。需检查Deployment注解，确保全局日志格式包含状态码字段：

annotations:
  nginx.ingress.kubernetes.io/log-format: |
    '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$http_x_forwarded_for"'

注意：如果仅配置了log-format-upstream，只会捕获后端服务返回的状态码，Ingress自身生成的503不会被该规则覆盖，必须配置log-format统一主日志格式。

2. 修正Filebeat日志解析规则 #

检查Filebeat ConfigMap中的自定义grok模式或nginx模块配置，确保正则能匹配所有数字状态码（包括503）：

grok {
  match => { "message" => '%{IPORHOST:remote_addr} - %{DATA:remote_user} \[%{HTTPDATE:time_local}\] "%{DATA:request}" %{NUMBER:status:int} %{NUMBER:body_bytes_sent:int} "%{DATA:http_referer}" "%{DATA:http_user_agent}" "%{DATA:http_x_forwarded_for}"' }
}

避免在grok模式中对状态码做范围限制（比如仅匹配2xx/3xx/4xx），%{NUMBER:status:int}可兼容所有数字型状态码。同时确认Filebeat监听的是Ingress主日志路径（通常为/var/log/nginx/access.log），503日志会写入该文件而非上游服务日志。

3. 验证解析与索引效果 #

• 手动触发503场景（例如停掉后端Service），查看Filebeat日志确认是否捕获到对应日志行，可使用filebeat test input测试输入源，或filebeat test pipeline验证解析逻辑。
• 直接在Elasticsearch中查询原始文档，确认503日志是否已被索引：

  curl -X GET "localhost:9200/your-index-name/_search?q=status:503&pretty"
  

  如果日志已索引但status字段未解析，重点检查grok规则；如果未索引，排查Filebeat输出配置与Elasticsearch索引权限。

4. 检查Elasticsearch索引模板 #

确保索引模板中status字段的映射类型为integer或keyword，避免使用text类型（会导致状态码无法被正确识别为数值）。可通过以下命令查看模板：

curl -X GET "localhost:9200/_template/your-template-name?pretty"

若类型不符，更新模板后重新索引数据即可。

内容的提问来源于stack exchange，提问作者Danilo Oliveira