Kubernetes 日志采集

核对 kubeconfig 指向的集群与当前身份，再统计试点节点、命名空间、运行时及日志产生速率；将应用标准输出、文件日志和审计日志分别登记。下面命令只读取指定集群的状态，<CONTEXT> 必须替换为已核实的上下文名称。抽样内容只在授权范围检查并先脱敏，避免在调试记录里复制用户数据、访问令牌或业务机密。

kubectl config current-context
kubectl --context='<CONTEXT>' get nodes -o wide
kubectl --context='<CONTEXT>' get namespaces

给采集器配置独立 ServiceAccount，依据实际元数据查询范围授予 get/list/watch 等必要权限；配置 Secret 只供输出插件使用，避免写进镜像和 ConfigMap。节点日志目录只读挂载，缓冲与 offset 使用独立目录，按集群策略评审 hostPath 例外。下例 <LOG_NAMESPACE> 和 <SERVICE_ACCOUNT> 都是计划使用的真实名称，命令只查询授权；模拟身份需调用者已有相应 impersonate 权限。

kubectl --context='<CONTEXT>' auth can-i list pods --all-namespaces --as='system:serviceaccount:<LOG_NAMESPACE>:<SERVICE_ACCOUNT>'

选取正常单行、JSON、多行堆栈和超长行样本，按实际容器运行时设置 CRI 解析及多行规则。统一事件时间、时区、集群名和命名空间字段，限制 Kubernetes 标签扩展范围；保留原始正文的策略需与脱敏要求一致。对异常解析设置可查询的失败标记或受控隔离路由，避免无提示丢弃。先在隔离样本环境验证，再将解析器纳入版本管理。

为每个 Tail 输入保留独立 offset 数据库，明确首次发现文件是从头补读还是只读新增；已有 offset 时的恢复行为应通过重启测试确认。配置独立 filesystem 缓冲、输出队列限额、重试和丢弃告警，估算可承受的后端中断时长。注意输出达到容量限制后可能淘汰旧 chunk，不能把设置限额理解为不会丢数据；节点日志轮转也必须与缓冲预算一并评估。

先建立试点索引或数据流的字段模板、保留策略、写入账号与只读查询角色，再配置输出端的证书信任和认证；凭据通过 Secret 注入并控制读取范围。将集群与环境作为稳定分区维度，避免按每个 Pod 建立索引。为 Kibana 配置明确时间字段及保存的检索视图，跨租户边界在后端授权中验证；历史数据回灌需要独立容量计划，不与实时接入一起扩大。

先用节点标签或受控调度范围将 DaemonSet 限定在试点节点，并明确如何恢复原调度条件；设置资源请求、限制和升级批次。对比采集器启动前后的 CPU、内存、日志磁盘水位及后端写入速率，排除采集器读取自身日志造成的反馈放大。观测元数据查询对 API Server 的影响，确认边缘节点、污点和不同节点池的调度差异，再逐组推广。

使用带唯一事件 ID 的脱敏测试流，覆盖日志轮转、Pod 重建、采集器重启和短时后端中断；测试仅在批准的试点范围执行，并设置最大时长和磁盘停止阈值。恢复后按 ID 核对样本总数、重复数及时间顺序，验证积压可排空而不超资源预算。交接检索方法、字段字典、容量预警、丢弃处置与回退清单，明确未能覆盖的日志类型。