如何使用Azure Log Analytics获取AKS容器内字符串并检测指定文件是否存在

两个需求均可以通过Azure Log Analytics配合AKS的配套采集功能实现，具体实现逻辑如下：

1. 获取AKS集群内容器中的特定字符串 #

该场景为Log Analytics的基础检索能力，前提是你已为AKS开启容器洞察（Container Insights），完成容器日志采集配置：

• 容器默认输出到stdout/stderr的日志会自动采集到Log Analytics的ContainerLog表，直接编写KQL查询即可筛选特定字符串
• 示例查询：检索24小时内所有容器中包含connect timeout关键词的日志

ContainerLog
| where TimeGenerated > ago(24h)
| where LogEntry has "connect timeout"
| project TimeGenerated, NodeName = Computer, PodName, ContainerName, LogEntry

• 如果你的日志输出到容器内的自定义日志文件，可在容器洞察配置中追加自定义日志采集路径，配置生效后自定义文件的日志也会同步到Log Analytics，支持同样的字符串检索逻辑。

2. 检测AKS中是否存在指定文件 #

该需求可通过两种成熟方案实现，可根据你的场景选择：

方案一：使用变更追踪功能 #

无需修改业务容器配置，直接启用变更追踪与清单功能即可：

• 该功能会定时扫描容器/节点内的文件变更，数据自动同步到Log Analytics的ConfigurationChange表
• 示例查询：检测最近1小时内是否有容器存在/app/runtime.lock文件

ConfigurationChange
| where TimeGenerated > ago(1h)
| where ConfigChangeType == "Files"
| where Name == "/app/runtime.lock"
| project TimeGenerated, PodName, ContainerName, FilePath = Name, ChangeType

• 查询返回结果即代表对应容器中存在该文件，你也可以基于该查询配置告警，实现文件新增/删除的实时通知。

方案二：自定义采集适配 #

如果对检测实时性要求更高，可以在容器内添加定时检测脚本，将结果输出到stdout：

# 示例脚本：每分钟检测一次文件是否存在，结果输出到标准输出
* * * * * root if [ -f /app/runtime.lock ]; then echo "FILE_EXIST: /app/runtime.lock"; else echo "FILE_NOT_EXIST: /app/runtime.lock"; fi

输出内容会同步到ContainerLog表，直接检索对应输出字符串即可判断文件存在性。

前置依赖：所有功能需要提前将AKS集群关联到Log Analytics工作区，并开启对应采集配置，数据采集延迟通常为1~5分钟。

内容的提问来源于stack exchange，提问作者Makina74