如何从AKS Pod中收集Windows系统及应用程序事件日志？

存在多种无需使用kubectl log即可采集Windows Pod系统、应用事件日志的方案，以下是生产环境常用的几种实现方式：

• 先通过集群管理工具定位目标Pod调度到的Windows工作节点，远程登录到该节点
• 针对进程隔离模式的Windows Pod，直接在节点PowerShell中执行筛选查询即可：
  查系统事件日志：
  Get-WinEvent -LogName System -FilterXPath "*[System/EventData/Data[@Name='ContainerName']='<目标Pod完整名称>']"
  查应用程序事件日志：
  Get-WinEvent -LogName Application -FilterXPath "*[System/EventData/Data[@Name='ContainerName']='<目标Pod完整名称>']"
• 针对Hyper-V隔离模式的Windows Pod，需要先进入对应Pod的Hyper-V虚拟机控制台，再执行上述PowerShell命令查询。

• 在所有Windows工作节点上部署日志采集代理（比如Fluentd Windows版、Filebeat）
• 配置代理规则：默认采集节点的System、Application事件日志，同时关联匹配Pod元数据（Pod名称、命名空间、标签、容器ID等字段）
• 配置上报目标到集群统一的日志存储组件（如Elasticsearch、Loki）
• 后续排查问题时直接在统一日志平台按Pod信息筛选即可，全程无需操作kubectl相关命令。

• 改造目标Pod的编排配置：给Pod挂载节点本地目录或者PVC作为持久化存储卷
• 两种实现导出的方式可选：
  1. 在业务容器的启动脚本中添加定时任务，定期用wevtutil命令将系统、应用事件日志导出为evtx/文本文件存入持久化卷
  2. 给Pod加一个Windows日志采集sidecar容器，sidecar常驻运行，实时把事件日志写入持久化卷
• 需要查看日志时直接到对应节点目录或者PVC中拉取导出的日志文件即可。

• 你可以直接向目标Pod所在节点的Kubelet API（默认端口10250）发起执行请求，无需通过kube apiserver转发
• 参考请求路径格式如下，请求体带上要执行的PowerShell查询命令，返回结果就是筛选后的事件日志内容：
  https://<节点IP>:10250/run/<Pod命名空间>/<Pod名称>/<业务容器名称>
• 该方法要求请求方拥有Kubelet API的访问权限，以及对应Pod的执行权限。

内容的提问来源于stack exchange，提问作者Spine_Killer