OpenStack容器化迁移后 nova-compute容器节点控制台日志为空

故障表现 #

• CLI场景：执行openstack console log show SERVER_NAME命令无任何内容返回
• Horizon UI场景：进入实例详情页的控制台标签页，页面无任何日志输出
• 已排查确认：nova-compute容器内对应实例的console.log文件实际存在，排除日志文件未生成、实例控制台代理未启用的基础异常，异常诱因与容器化部署的配置适配直接相关

核心排查修复方向 #

• 跨服务路径配置不匹配：控制节点侧的nova-api、nova-novncproxy组件，容器化部署时默认沿用原裸金属阶段的console.log查找路径，没有和计算节点nova-compute容器内的实际日志存储路径对齐。需要核查nova配置项instance_console_log_location的取值，确保控制节点组件配置的日志查找路径，与nova-compute容器内的实际日志存储路径完全一致。裸金属部署时全节点路径统一，容器化后日志存储路径可能因挂载配置发生偏移，控制节点基于错误路径发起跨节点文件读取时，就会出现无返回的情况且不抛显性错误。
• 容器用户ID权限不匹配：容器部署的用户ID映射规则，会导致发起日志读取请求的服务进程（nova-api、novncproxy），和写入console.log的nova-compute进程存在用户权限差异，跨节点读取时被文件权限拦截但不会抛出显性报错。需要核查目标console.log文件的属主权限，确保跨节点访问的服务进程对日志文件具备读权限，必要时统一全链路nova相关容器的运行用户ID，消除权限差。裸金属部署时所有节点nova进程的运行用户ID一致，容器化后各容器独立的用户映射很容易造成ID不一致的问题。
• 容器网络下代理通道不通：nova-compute向控制节点推送控制台日志的serial proxy通道，可能因容器网络隔离出现路由不通的问题，导致日志内容无法流式传输到前端。需要检查nova配置中serialproxy_host、串口端口段的相关配置，确保对应服务的端口在容器网络内双向可达，无路由阻断。
• 容器安全策略拦截：容器默认启用的安全上下文、SELinux规则，可能静默拦截进程跨命名空间读取日志文件的操作。需要核查对应服务的系统审计日志，排查是否存在安全策略拒绝访问的记录，按需调整匹配的安全上下文规则恢复访问权限。

内容的提问来源于stack exchange，提问作者James Wang