采集Docker事件 - 日志服务

限制说明

• Logtail可运行在容器模式或宿主机上，需具备访问Docker的权限（可以访问到/var/run/docker.sock）。

  Logtail采集Kubernetes日志请参见采集Kubernetes日志，采集标准容器日志请参见采集标准Docker容器日志。

• Logtail在重启或停止期间，无法采集容器事件。

应用场景

• 监控所有容器的启停事件，当核心容器停止后立即告警。
• 采集所有容器事件，用于审计、安全分析、问题排查。
• 监控所有镜像的拉取事件，如果拉取非合法路径的镜像时立即告警。

操作步骤

1. 登录日志服务控制台。
2. 在接入数据区域，选择自定义数据插件。
3. 在选择日志空间页签中，选择目标Project和Logstore，单击下一步。
   您也可以单击立即创建，重新创建Project和Logstore，详情请参见步骤1：创建Project和Logstore。
4. 在创建机器组页签中，创建机器组。
   • 如果您已有可用的机器组，请单击使用现有机器组。
   • 如果您还没有可用的机器组，请执行以下操作（以ECS为例）。
     1. 选择ECS实例安装Logtail，详情请参见安装Logtail（ECS实例）。

        如果已在ECS上安装Logtail，可直接单击确认安装完毕。

        说明 如果是自建集群、其他云厂商服务器，需要手动安装Logtail，详情请参见安装Logtail（Linux系统）。
     2. 安装完成后，单击确认安装完毕。
     3. 创建机器组，详情请参见创建IP地址机器组或创建用户自定义标识机器组。
5. 在机器组配置页签中，应用机器组。
   选择一个机器组，将该机器组从源机器组移动到应用机器组。
6. 在数据源设置页签中，配置配置名称和插件配置。
   • inputs为Logtail采集配置，必选项，请根据您的数据源配置。
     说明 一个inputs中只允许配置一个类型的数据源。
   • processors为Logtail处理配置，可选项。您可以配置一种或多种处理方式，详情请参见处理数据。

   {
     "inputs": [
       {
         "detail": {},
         "type": "service_docker_event"
       }
     ]
   }

   配置项	类型	是否必须	说明
   type	string	是	数据源类型，固定为service_docker_event。
   EventQueueSize	int	否	事件缓冲队列大小。不配置时，默认为10，无特殊需求请保持默认设置。

7. 在查询分析配置页签中，设置索引。
   默认已设置索引，您也可以根据业务需求，重新设置索引，具体请参见开启并配置索引。

   说明

   • 全文索引和字段索引属性必须至少启用一种。同时启用时，以字段索引属性为准。
   • 索引类型为long、double时，大小写敏感和分词符属性无效。