☰

问： journalctl 是否要在消息前加上自己的元数据？

tag-icon • tag-icon journald
问： journalctl 是否要在消息前加上自己的元数据？

如何journald在日志消息中用元数据作为日志条目的前缀？

我想我可能必须查看其中一个详细输出，过滤掉换行符和所有额外信息，只找到我要查找的项目（DateTime、Docker CONTAINER_NAME、Message）并忽略其余所有内容到一行上。

可以使用类似的东西awk来删除换行符，只抓取 X、Y、Z 行，并将它们显示在一行上吗？那么 args 如何知道要对每行 X、Y、Z 行进行分组？我的意思是，args 如何知道每个“分组”？

更多信息请见下文。

下面是我从两个不同的 Docker 容器中记录到 journald 的两行内容：

Apr 28 18:09:43 rschool dockerd[1366]: [pid: 9|app: 0|req: 1/1] 68.180.230.53 () {48 vars in 934 bytes} [Fri Apr 28 14:09:42 2017] GET /enrollment/info-sessions/ => generated 17175 bytes in 1072 msecs (HTTP/1.0 200) 3 headers in 112 bytes (1 switches on core 0)
Apr 28 18:09:43 rschool dockerd[1366]: 68.180.230.53 - - [28/Apr/2017:18:09:43 +0000] "GET /enrollment/info-sessions/ HTTP/1.1" 200 3495 "-" "Mozilla/5.0 (Macintosh; IntelMac OS X 10_12_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.81 Safari/537.36" "-"

如您所见，您无法分辨哪个日志条目属于哪个 docker 容器。

查看完整日志消息时，可以获得元数据。以下是使用 查看时显示的消息之一journald -o verbose：

_UID=0
_GID=0
_SYSTEMD_SLICE=system.slice
_BOOT_ID=f4a6e9569f0349d1817bd92ab779ebe3
_MACHINE_ID=a62f158e48fc45eeb32afaef98d24d5b
_HOSTNAME=rschool
_TRANSPORT=journal
_CAP_EFFECTIVE=3fffffffff
_PID=1366
_COMM=dockerd
_EXE=/usr/bin/dockerd
_CMDLINE=/usr/bin/dockerd -H fd://
_SYSTEMD_CGROUP=/system.slice/docker.service
_SYSTEMD_UNIT=docker.service
CONTAINER_NAME=rschool_web_1
CONTAINER_ID=732e5bf0d0a1
CONTAINER_ID_FULL=732e5bf0d0a1cc110cacce68850143aa3534
CONTAINER_TAG=rschool_web/rschool_web_1/732e5bf0d0a1
MESSAGE=[pid: 9|app: 0|req: 1/1] 68.180.230.53 () {48 vars in 934 bytes} [Fri Apr 28 14:09:42 2017] GET /enrollment/info-sessions/ => generated 17175 bytes in 1072 msecs (HTTP/1.0 200) 3 headers in 112 bytes (1 switches on core 0)
_SOURCE_REALTIME_TIMESTAMP=1493402983899475
Fri 2017-04-28 18:09:43.901030 UTC [s=9d2777df7c3e4658a6d3d2c7896376ce;i=13ca;b=f4a6e9569f0349d1817bd92ab779ebe3;m=c91fe4d38;t=54e3dfa5ca862;x=f8ee400046f7d86f]
PRIORITY=6

但 journald 好像不具备任何区分性-o verbose。

Docker 日志驱动程序的一部分使用 journald，它添加了一些内容CONTAINER_NAME- 这正是我所寻找的。

如何使用类似于的格式显示 CONTAINER_NAME -o short？

答案1

好的，我在打字时找到了答案。虽然它很冗长。所以 bash 别名会有所帮助（见结尾）。将其变成“Wiki 答案”，因为我花了很长时间才打出来并找到答案。也许有一天它可以帮助别人。

有 JSON 输出格式可用-o json。

我们可以用jq它从 json 中选择内容，格式化并连接它们，然后将它们显示在单个上。

journalctl -f -n 100 -o json | jq -r '.__REALTIME_TIMESTAMP + " " + .PRIORITY + " " + ._HOSTNAME + " " + ._SYSTEMD_UNIT + " " + .CONTAINER_TAG + " " + .MESSAGE'

我使用 dockertag选项来指定自定义标签。例如，我的docker-compose.production.yml覆盖如下所示：

version: '2'
services:
    nginx:
        restart: always
        ports:
            - "80:80"
            - "443:443"
        logging:
            driver: journald
            options:
                tag: "{{.ImageName}}/{{.Name}}/{{.ID}}"

这给了我如下一行：

1493405629162557 6 rschool docker.service nginx:1.12.0-alpine/rschool_nginx_1/0f6b8d772957 X.X.X.X - - [28/Apr/2017:18:53:49 +0000] "GET / HTTP/1.1" 200 4399 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.81 Safari/537.36" "-"

这正是我想要的。这也与所有其他 journald 条目兼容：

1493405535267844 4 rschool   [UFW BLOCK] IN=eth0 OUT= MAC=9e:51:e1...:08:00 SRC=X.X.X.X DST=X.X.X.X LEN=439 TOS=0x00 PREC=0x00 TTL=57 ID=41599 DF PROTO=UDP SPT=5273 DPT=5060 LEN=419

如果您不使用 docker 日志标签，那么您可以只使用 CONTAINER_NAME：

journalctl -f -n 100 -o json | jq -r '.__REALTIME_TIMESTAMP + " " + .PRIORITY + " " + ._HOSTNAME + " " + ._SYSTEMD_UNIT + " " + .CONTAINER_NAME + " " + .MESSAGE'

无论 Linux 系统是否记录到 journald，这都应该适用于所有 Docker 容器。

剩下的就是将其变成 bash 别名以便快速引用。将其添加到~/.bash_aliasesand中source ~/.bash_aliases：

alias journalctlf="journalctl -f -n 100 -o json | jq -r '.__REALTIME_TIMESTAMP + \" \" + .PRIORITY + \" \" + ._HOSTNAME + \" \" + ._SYSTEMD_UNIT + \" \" + .CONTAINER_NAME + \" \" + .MESSAGE'"

（“f”代表格式化）

然后您就可以journalctlf直接运行，并享受带有 docker 容器名称的 jorunald 的荣耀。

相关内容