哪个CloudWatch日志包含EKS集群的Kubernetes事件记录？

你要查找的K8s事件信息存储在EKS控制平面日志的events类别中。

注意事项 #

• EKS控制平面日志默认不会全量开启，你需要先确认集群的控制平面日志配置中已启用events类别的投递，否则CloudWatch中不会留存对应的历史事件数据
• 开启events日志投递后，对应的日志一般存储在名称格式为/aws/eks/[你的集群名称]/cluster的CloudWatch日志组中，日志流名称前缀包含kube-events标识

SIGKILL终止场景的补充排查方法 #

除了events日志外，你可以结合以下方式辅助定位根因：

• 在api类控制平面日志中搜索对应Pod名称、SIGKILL、OOMKilled关键词，确认是否是资源超限导致内核终止进程
• 你可以用以下CloudWatch Logs Insights语句快速过滤指定Pod的历史事件：

fields @timestamp, @message
| filter @logStream like /kube-events/
| filter @message like "<替换为目标Pod名称>"
| sort @timestamp desc
| limit 200

• 若怀疑是OOM导致的终止，也可以查询Pod调度所在节点的kubelet日志、内核日志查看OOM相关记录。

内容的提问来源于stack exchange，提问作者Hedge