K8s中如何查询所有Pod历史日志 标签选择器与--since参数同时不生效？

命令不生效根因 #

原生kubectl logs在使用-l标签选择器批量拉取多Pod日志时，--since/--since-time参数与-f（实时跟随）参数存在版本兼容限制，多数K8s版本下二者搭配使用无法正常返回历史日志。
如果不需要实时跟随新日志，仅拉取最近1小时的历史日志，直接去掉-f参数即可正常执行：

kubectl logs -l app=abc_application -c abc_application_container --since=60m

替代方案 #

方案1：使用stern日志查询工具（推荐） #

stern是K8s生态中专门用于多Pod日志批量查询的工具，原生支持标签筛选、时间段过滤、多源日志合并输出，无需复杂拼接，安装后执行以下命令即可同时满足“拉取最近1小时历史日志+实时跟随新日志”的需求：

stern -l app=abc_application -c abc_application_container --since 60m

方案2：原生Shell整合命令（无需额外安装工具） #

如果集群环境不允许安装第三方工具，可以直接使用以下原生Shell命令实现相同效果，命令会自动批量拉取所有匹配标签的Pod日志，同时自带Pod名称前缀方便区分日志来源：

# 仅拉取最近1小时历史日志
kubectl get pods -l app=abc_application -o name | xargs -I {} kubectl logs --since=60m {} -c abc_application_container --prefix

# 拉取最近1小时历史日志+实时跟随新日志
kubectl get pods -l app=abc_application -o name | xargs -I {} kubectl logs --since=60m {} -c abc_application_container --prefix -f

扩展用法 #

如果需要查询精确时间段的日志，可将--since=60m替换为--since-time参数指定起始时间，再配合grep过滤结束时间即可，示例如下：

# 查询2024年5月20日14点到15点的日志
kubectl get pods -l app=abc_application -o name | xargs -I {} kubectl logs --since-time=2024-05-20T14:00:00Z {} -c abc_application_container --prefix | grep "2024-05-20T1[4-5]:"

内容的提问来源于stack exchange，提问作者Vishakha Lall