如何在Kibana中隐藏特定容器的日志？EFK栈配置咨询

当然可以实现！既然容器ID会变化但容器名mycontainer是固定的，我们可以在Logstash的过滤阶段做处理——先从日志里解析出容器名字段，再直接丢弃对应容器的日志，这样就不会传到Kibana里了。下面是具体步骤：

1. 先解析日志中的容器名字段 #

首先得确保Logstash能从日志里提取出container.name（或对应字段名），分两种常见情况处理：

情况A：Docker日志是JSON格式（默认json-file驱动）

如果你的容器日志是Docker默认的JSON格式，直接用json过滤器解析整条日志，就能拿到容器元数据：

filter {
  # 解析Docker的JSON日志行
  json {
    source => "message"
    target => "docker" # 可选：把解析后的字段放到docker子节点下，避免字段冲突
  }

  # 从解析结果中提取容器名（字段名可能因Docker版本略有差异，比如containerName）
  mutate {
    add_field => { "container.name" => "%{[docker][attrs][containerName]}" }
  }
}

情况B：Docker日志是普通文本格式

如果日志是非JSON的文本格式，用grok模式匹配出容器名。比如你的日志行格式类似mycontainer [2024-05-20] ERROR: xxx，可以这样写：

filter {
  grok {
    match => { "message" => "%{DATA:container.name} \[%{TIMESTAMP_ISO8601:timestamp}\] %{GREEDYDATA:log_content}" }
    # 请根据你的实际日志格式调整grok表达式
  }
}

2. 添加Drop过滤器丢弃目标容器日志 #

解析出container.name字段后，添加条件判断，当容器名是mycontainer时直接丢弃这条日志：

filter {
  # 把上面的json/grok解析代码放在这里

  # 丢弃mycontainer的日志
  if [container.name] == "mycontainer" {
    drop {}
  }
}

3. 验证配置并重启Logstash #

• 可以临时在Logstash配置里添加stdout { codec => rubydebug }，测试过滤规则是否生效
• 修改完配置后，重启Logstash服务：

sudo systemctl restart logstash

这样处理后，mycontainer的日志会在Logstash阶段被直接丢弃，不会发送到Elasticsearch，自然也不会出现在Kibana仪表板里了。

内容的提问来源于stack exchange，提问作者vivek