如何在EKS中配置Fluent Bit以正确处理多行Java应用日志并转发至Datadog

我完全懂你遇到的麻烦——你的Java应用日志里混着两种格式：一种是带时间戳的标准日志行，另一种是没有时间戳的初始化多行内容，结果Fluent Bit转发到Datadog时把这些多行拆成了零散的日志条目，可读性极差对吧？别着急，咱们通过调整Fluent Bit的配置就能搞定这个问题，核心是用它的multiline过滤器来识别并合并多行日志。

核心思路 #

咱们要告诉Fluent Bit：所有以YYYY-MM-DD HH:MM:SS时间戳开头的行都是一条新日志的起始，而所有不满足这个规则的行，都属于上一条日志的延续内容，需要合并到一起。

具体配置步骤 #

1. 添加Multiline过滤器配置

在你的Fluent Bit配置文件中，新增一个multiline过滤器，用来匹配并合并多行日志：

[FILTER]
    Name          multiline
    Match         *
    Parser_Firstline  java_multiline_start
    Parser_Nonewline  java_multiline_cont
    Buffer_Max_Size  5MB  # 调整这个值适配你的最长多行日志长度

2. 定义日志匹配规则（Parser）

在配置文件的[PARSERS]区块中，添加两个解析器，分别识别日志起始行和延续行：

[PARSERS]
    # 识别新日志的起始行：匹配以时间戳+日志级别开头的行
    [PARSER]
        Name        java_multiline_start
        Format      regex
        Regex       ^\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2} (INFO|WARN|ERROR|DEBUG)

    # 识别延续行：匹配所有**不**以时间戳开头的行
    [PARSER]
        Name        java_multiline_cont
        Format      regex
        Regex       ^(?!\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2})

3. 确保Input配置正确（以Tail读取容器日志为例）

如果是用tail插件读取EKS容器日志，要确保配置里开启了必要的缓存和换行处理：

[INPUT]
    Name              tail
    Path              /var/log/containers/*.log
    Tag               kubernetes.*
    Parser            docker
    DB                /var/log/flb_kube.db
    Mem_Buf_Limit     5MB
    Skip_Long_Lines   On
    Refresh_Interval  10

4. 配置Datadog输出

最后，调整Datadog输出配置，确保日志标签正确，方便在Datadog中分类查看：

[OUTPUT]
    Name          datadog
    Match         *
    API_KEY       YOUR_DATADOG_API_KEY  # 替换成你的Datadog API密钥
    Host          logs.datadoghq.com
    Port          443
    dd_service    your-app-service-name  # 替换成你的应用服务名
    dd_source     java
    dd_tags       env:eks,cluster:your-cluster-name  # 自定义标签
    Tls           On
    Tls_Verify    On

关键注意事项 #

• 确保你用的Fluent Bit版本是1.7及以上，这个版本对multiline过滤器的支持更稳定
• 如果你的日志起始行格式有变化（比如时间戳后面的内容不同），要调整java_multiline_start的正则表达式，匹配你实际的日志开头
• 测试配置时，可以用fluent-bit -c your-config-file.conf -v本地运行，查看日志是否正确合并后再部署到EKS
• 在EKS中部署Fluent Bit DaemonSet时，要确保Pod有足够的权限读取/var/log/containers/目录下的日志文件

这样配置后，你的初始化多行日志就会被合并成一条完整的日志条目转发到Datadog，再也不会零散分布了。

备注：内容来源于stack exchange，提问作者Nasil Regobs