Amazon ECS部署datadog-agent出现单条日志重复展示3次问题求助

首先明确：你当前给出的挂载点配置不会触发多路径重复采集，docker.sock、proc、cgroup等路径是Datadog Agent采集容器元数据、运行指标的必要依赖，和日志采集路径无关联。本地环境无法复现的核心原因是ECS EC2集群的部署模式与本地Docker Desktop存在本质差异。

常见触发日志重复3次的根因 #

• ECS EC2节点上运行了3个Datadog Agent实例：最常见的场景是你同时配置了ECS Daemon Service类型的Agent、又在节点上手动部署了Agent容器，或者Daemon Service调度规则异常导致多个Agent副本被调度到同一个节点，多个Agent同时通过docker.sock采集同一个应用容器的stdout/stderr日志，就会出现每条日志重复3次的问题。
• Java应用配置了多日志输出规则：比如应用同时将日志输出到stdout、2个不同的本地日志文件，你开启了DD_LOGS_CONFIG_CONTAINER_COLLECT_ALL=true会让Agent采集容器内所有可识别的日志输出源，导致同一条日志被多源采集上报。
• Datadog服务端索引规则冗余：你配置了多个匹配规则完全相同的日志Pipeline，同一条日志被多次处理后写入索引，该场景概率较低。

分步解决方法 #

1. 排查节点上的Agent实例数量 #

登录到出现日志重复的ECS EC2节点，执行命令：
docker ps | grep datadog-agent
确认节点上运行的Agent容器数量，如果结果显示有3个Agent容器，排查ECS Daemon Service的调度配置，确认是否存在副本配置错误、节点标签匹配规则错误的问题，调整到每个节点仅运行1个Agent实例即可解决问题。

2. 排查多日志源采集问题 #

在Datadog UI中对比重复3条日志的source、filepath标签差异：如果3条日志的来源分别是stdout、file:/xxx/xxx.log、file:/yyy/yyy.log，说明是应用多输出源导致的，可以通过添加Agent环境变量禁止采集容器内的日志文件，仅保留stdout/stderr采集：

DD_LOGS_CONFIG_CONTAINER_EXCLUDE_FILES=["*.log"]

也可以直接修改Java应用的日志配置，仅保留stdout输出。

3. 排查服务端冗余配置 #

如果前两步排查无异常，检查Datadog日志索引配置，确认是否存在多个匹配规则相同的索引规则，导致同一条日志被多次写入，关闭冗余规则即可。

内容的提问来源于stack exchange，提问作者davyjones