如何在OpenShift的EFK栈中配置Fluentd的out_splunk插件？

我之前在OpenShift的logging项目环境里配置过类似的Fluentd转发到Splunk的需求，刚好能给你梳理清楚落地步骤：

1. 先确保Fluentd的out_splunk插件已安装 #

OpenShift默认部署的Fluentd镜像大概率没有预装out_splunk插件，得先补上：

• 如果是手动维护的Fluentd DaemonSet，你可以修改镜像的Dockerfile，添加gem install fluent-plugin-splunk（对应你查阅的v0.12版本）；要是想用更稳定的新版，推荐安装fluent-plugin-splunk-hec（适配Splunk HTTP Event Collector）；
• 如果是用OpenShift Logging Operator部署的EFK，你可以通过修改Fluentd的自定义资源，添加插件安装的初始化脚本，或者直接替换成预装了目标插件的自定义镜像。

2. 找到Fluentd的配置管理入口 #

在OpenShift的logging项目中，Fluentd的配置基本通过ConfigMap管理：

• 登录OpenShift控制台切换到logging项目，搜索名称带fluentd或collector的ConfigMap（比如常见的fluentd-config）；
• 也可以用命令行快速定位：oc get configmaps -n logging | grep fluentd

如果是Operator部署的ClusterLogging，你也能直接在ClusterLogging自定义资源的collector模块里嵌入输出配置片段。

3. 配置事件过滤与Splunk输出 #

编辑找到的ConfigMap，在Fluentd配置文件里添加两个核心模块：

3.1 筛选需要转发的事件 #

用<filter>块精准圈定要发送到Splunk的事件，比如按命名空间、日志级别过滤：

<filter kubernetes.**>
  @type grep
  <regexp>
    key $.kubernetes.namespace_name
    pattern ^(my-business-app)$
  </regexp>
  <regexp>
    key $.level
    pattern ^(ERROR|CRITICAL)$
  </regexp>
</filter>

上面的例子会只筛选my-business-app命名空间下的ERROR/CRITICAL级日志。

3.2 配置Splunk输出规则 #

在配置文件末尾添加<match>块，调用out_splunk插件：

<match kubernetes.**>
  @type splunk
  host your-splunk-hec-domain
  port 8088
  token #{ENV['SPLUNK_HEC_TOKEN']}
  protocol https
  verify false
  format json
  sourcetype kubernetes_logs
  index your-splunk-target-index
</match>

重要提醒：绝对不要明文写Splunk Token！把Token存在OpenShift的Secret里，然后在Fluentd的DaemonSet中把Secret挂载为环境变量，用#{ENV['SPLUNK_HEC_TOKEN']}引用即可。

4. 应用配置并验证 #

• 保存ConfigMap修改后，OpenShift会自动触发Fluentd Pod的滚动重启（Operator管理的场景会自动完成）；
• 查看Fluentd日志确认配置无报错：oc logs -n logging -l component=collector；
• 登录Splunk控制台，检查目标索引是否收到预期的日志事件。

额外注意点 #

• 要确保OpenShift集群能访问Splunk的HEC端口（通常是8088），如果Splunk在私有网络，需要打通网络策略；
• 新版Splunk更推荐用HEC协议，所以优先考虑fluent-plugin-splunk-hec插件，配置语法略有调整但稳定性更高；
• 一定要确保<filter>和<match>的标签匹配，避免误把所有日志都转发到Splunk。

内容的提问来源于stack exchange，提问作者Anna