ロギングの設定

手順

1. コレクターのサービスアカウントを作成します。認証にトークンを必要とするストレージにログを書き込む場合は、サービスアカウントにトークンを含める必要があります。

2. 適切なクラスターロールをサービスアカウントにバインドします。

   バインドコマンドの例

   $ oc adm policy add-cluster-role-to-user <cluster_role_name> system:serviceaccount:<namespace_name>:<service_account_name>

   Copy to Clipboard Toggle word wrap

手順

1. 既存の ClusterLogForwarder 設定を抽出し、ローカルファイルとして保存します。

   $ oc get clusterlogforwarder <name> -n <namespace> -o yaml > <filename>.yaml

   Copy to Clipboard Toggle word wrap

   詳細は、以下のようになります。

   • <name> は、設定する ClusterLogForwarder インスタンスの名前です。
   • <namespace> は、ClusterLogForwarder インスタンスを作成した namespace です (例: openshift-logging)。
   • <filename> は、設定を保存するローカルファイルの名前です。

2. ClusterLogForwarder CR の filters spec に、不要なログレコードを破棄する設定を追加します。

   ClusterLogForwarder CR の例

   apiVersion: observability.openshift.io/v1
   kind: ClusterLogForwarder
   metadata:
     name: instance
     namespace: openshift-logging
   spec:
     # ...
     filters:
     - name: drop-filter
       type: drop 

   1

   
       drop: 

   2

   
       - test: 

   3

   
         - field: .kubernetes.labels."app.version-1.2/beta" 

   4

   
           matches: .+ 

   5

   
         - field: .kubernetes.pod_name
           notMatches: "my-pod" 

   6

   
     pipelines:
     - name: my-pipeline 

   7

   
       filterRefs:
       - drop-filter
     # ...

   Copy to Clipboard Toggle word wrap

   1

   フィルターのタイプを指定します。drop フィルターは、フィルター設定に一致するログレコードを破棄します。

   2

   drop フィルターの設定オプションを指定します。

   3

   フィルターがログレコードを破棄するかどうかを評価するテストの条件を指定します。

   4

   ログレコード内のフィールドへのドット区切りのパスを指定します。

   • 各パスセグメントには、英数字とアンダースコア (a-z、A-Z、0-9、_) を含めることができます (例: .kubernetes.namespace_name)。
   • セグメントに異なる文字が含まれている場合は、セグメントを引用符で囲む必要があります (例: .kubernetes.labels."app.version-1.2/beta")。
   • 1 つの test 設定にいくつかのフィールドパスを含めることができますが、テストに合格して drop フィルターを適用するには、すべてのフィールドパスが true と評価される必要があります。

   5

   正規表現を指定します。ログレコードがこの正規表現と一致する場合は、破棄されます。

   6

   正規表現を指定します。ログレコードがこの正規表現に一致しない場合、破棄されます。

   7

   drop フィルターを使用するパイプラインを指定します。

   注記

   単一の field パスに対して matches または notMatches 条件のいずれかを設定できますが、両方を設定することはできません。

   優先度の高いログレコードのみを保持する設定例

   # ...
   filters:
   - name: important
     type: drop
     drop:
     - test:
       - field: .message
         notMatches: "(?i)critical|error"
       - field: .level
         matches: "info|warning"
   # ...

   Copy to Clipboard Toggle word wrap

   いくつかのテストを含む設定例

   # ...
   filters:
   - name: important
     type: drop
     drop:
     - test: 

   1

   
       - field: .kubernetes.namespace_name
         matches: "openshift.*"
     - test: 

   2

   
       - field: .log_type
         matches: "application"
       - field: .kubernetes.pod_name
         notMatches: "my-pod"
   # ...

   Copy to Clipboard Toggle word wrap

   1

   フィルターは、openshift で始まる namespace を含むログを破棄します。

   2

   フィルターは、Pod 名に my-pod が含まれないアプリケーションログを破棄します。

3. 次のコマンドを実行して、ClusterLogForwarder CR を適用します。

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

手順

1. ClusterLogForwarder CR の input 仕様にフィルターの設定を追加します。

   以下の例は、ラベル式または一致したラベルキー/値に基づいてログを組み込むように ClusterLogForwarder CR を設定する方法を示しています。

   ClusterLogForwarder CR の例

   apiVersion: observability.openshift.io/v1
   kind: ClusterLogForwarder
   # ...
   spec:
     serviceAccount:
       name: <service_account_name>
     inputs:
       - name: mylogs
         application:
           selector:
             matchExpressions:
             - key: env 

   1

   
               operator: In 

   2

   
               values: ["prod", "qa"] 

   3

   
             - key: zone
               operator: NotIn
               values: ["east", "west"]
             matchLabels: 

   4

   
               app: one
               name: app1
         type: application
   # ...

   Copy to Clipboard Toggle word wrap

   1

   照合するラベルキーを指定します。

   2

   Operator を指定します。有効な値には、In、NotIn、Exists、DoesNotExist などがあります。

   3

   文字列値の配列を指定します。operator 値が Exists または DoesNotExist のいずれかの場合、値の配列は空である必要があります。

   4

   正確なキーまたは値のマッピングを指定します。

2. 次のコマンドを実行して、ClusterLogForwarder CR を適用します。

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

手順

1. 既存の ClusterLogForwarder 設定を抽出し、ローカルファイルとして保存します。

   $ oc get clusterlogforwarder <name> -n <namespace> -o yaml > <filename>.yaml

   Copy to Clipboard Toggle word wrap

   詳細は、以下のようになります。

   • <name> は、設定する ClusterLogForwarder インスタンスの名前です。
   • <namespace> は、ClusterLogForwarder インスタンスを作成した namespace です (例: openshift-logging)。
   • <filename> は、設定を保存するローカルファイルの名前です。

2. ClusterLogForwarder CR の filters spec にログレコードをプルーニングするための設定を追加します。

   重要

   in と notIn の両方のパラメーターを指定した場合、プルーニング中に notIn 配列が in よりも優先されます。notIn 配列を使用してレコードがプルーニングされた後、続いて in 配列を使用してレコードがプルーニングされます。

   ClusterLogForwarder CR の例

   apiVersion: observability.openshift.io/v1
   kind: ClusterLogForwarder
   metadata:
     name: instance
     namespace: openshift-logging
   spec:
     serviceAccount:
       name: my-account
     filters:
     - name: prune-filter
       type: prune 

   1

   
       prune: 

   2

   
         in: [.kubernetes.annotations, .kubernetes.namespace_id] 

   3

   
         notIn: [.kubernetes,.log_type,.message,."@timestamp",.log_source] 

   4

   
     pipelines:
     - name: my-pipeline 

   5

   
       filterRefs: ["prune-filter"]
     # ...

   Copy to Clipboard Toggle word wrap

   1

   フィルターのタイプを指定します。prune フィルターでは、設定されたフィールドでログレコードをプルーニングします。

   2

   prune フィルターの設定オプションを指定します。

   • in フィールドと notIn フィールドは、ログレコード内のフィールドへのドットで区切られたパスの配列です。
   • 各パスセグメントには、英数字とアンダースコア (a-z、A-Z、0-9、_) を含めることができます (例: .kubernetes.namespace_name)。
   • セグメントに異なる文字が含まれている場合は、セグメントを引用符で囲む必要があります (例: .kubernetes.labels."app.version-1.2/beta")。

   3

   オプション: ログレコードから削除するフィールドを指定します。ログコレクターが他のすべてのフィールドを保持します。

   4

   オプション: ログレコードに保持するフィールドを指定します。ログコレクターが他のすべてのフィールドを削除します。

   5

   prune フィルターを適用するパイプラインを指定します。

   重要

   • フィルターは、ログレコードから .log_type、.log_source、.message フィールドを削除できません。それらを notIn フィールドに含める必要があります。
   • googleCloudLogging 出力を使用する場合は、notIn フィールドに .hostname を含める必要があります。

3. 次のコマンドを実行して、ClusterLogForwarder CR を適用します。

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

手順

1. ClusterLogForwarder CR を変更して、http レシーバー入力の設定を追加します。

   ClusterLogForwarder CR の例

   apiVersion: observability.openshift.io/v1
   kind: ClusterLogForwarder
   metadata:
     name: <clusterlogforwarder_name> 

   1

   
     namespace: <namespace>
   # ...
   spec:
     serviceAccount:
       name: <service_account_name>
     inputs:
     - name: http-receiver 

   2

   
       type: receiver
       receiver:
         type: http 

   3

   
         port: 8443 

   4

   
         http:
           format: kubeAPIAudit 

   5

   
     outputs:
     - name: <output_name>
       type: http
       http:
         url: <url>
     pipelines: 

   6

   
       - name: http-pipeline
         inputRefs:
           - http-receiver
         outputRefs:
           - <output_name>
   # ...

   Copy to Clipboard Toggle word wrap

   1

   ClusterLogForwarder CR の名前を指定します。

   2

   入力レシーバーの名前を指定します。

   3

   入力レシーバー型を http に指定します。

   4

   オプション: 入力レシーバーがリッスンするポートを指定します。これは、1024 から 65535 までの値とします。指定されていない場合、デフォルト値は 8443 です。

   5

   現在、http 入力レシーバーでは kube-apiserver Webhook 形式のみがサポートされています。

   6

   入力レシーバーのパイプラインを設定します。

2. 次のコマンドを実行して、ClusterLogForwarder CR に変更を適用します。

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、コレクターが <clusterlogforwarder_resource_name>-<input_name> 形式の名前を持つサービスでリッスンしていることを確認します。

   $ oc get svc

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                      TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)            AGE
   collector                 ClusterIP   172.30.85.239    <none>        24231/TCP          3m6s
   collector-http-receiver   ClusterIP   172.30.205.160   <none>        8443/TCP           3m6s

   Copy to Clipboard Toggle word wrap

   この例では、サービス名は collector-http-receiver です。

検証

1. 次のコマンドを実行して、認証局 (CA) 証明書ファイルを抽出します。

   $ oc extract cm/openshift-service-ca.crt -n <namespace>

   Copy to Clipboard Toggle word wrap
   注記

   コレクターが実行されているクラスター内の CA が変更された場合は、CA 証明書ファイルを再度抽出する必要があります。

2. たとえば、次のコマンドを実行して、curl コマンドを使用してログを送信します。

   $ curl --cacert <openshift_service_ca.crt> https://collector-http-receiver.<namespace>.svc:8443 -XPOST -d '{"<prefix>":"<message>"}'

   Copy to Clipboard Toggle word wrap

   <openshift_service_ca.crt> は、抽出した CA 証明書ファイルに置き換えます。

手順

1. 次のコマンドを実行して、collect-infrastructure-logs クラスターのロールをサービスアカウントに付与します。

   バインドコマンドの例

   $ oc adm policy add-cluster-role-to-user collect-infrastructure-logs -z logcollector

   Copy to Clipboard Toggle word wrap

2. ClusterLogForwarder CR を変更して、syslog レシーバー入力の設定を追加します。

   ClusterLogForwarder CR の例

   apiVersion: observability.openshift.io/v1
   kind: ClusterLogForwarder
   metadata:
     name: <clusterlogforwarder_name> 

   1

   
     namespace: <namespace>
   # ...
   spec:
     serviceAccount:
       name: <service_account_name> 

   2

   
     inputs:
       - name: syslog-receiver 

   3

   
         type: receiver
         receiver:
           type: syslog 

   4

   
           port: 10514 

   5

   
     outputs:
     - name: <output_name>
       lokiStack:
         authentication:
           token:
             from: serviceAccount
         target:
           name: logging-loki
           namespace: openshift-logging
       tls: 

   6

   
         ca:
           key: service-ca.crt
           configMapName: openshift-service-ca.crt
       type: lokiStack
   # ...
     pipelines: 

   7

   
       - name: syslog-pipeline
         inputRefs:
           - syslog-receiver
         outputRefs:
           - <output_name>
   # ...

   Copy to Clipboard Toggle word wrap

   1 2

   前のステップで collect-infrastructure-logs 権限を付与したサービスアカウントを使用します。

   3

   入力レシーバーの名前を指定します。

   4

   入力レシーバー型を syslog に指定します。

   5

   オプション: 入力レシーバーがリッスンするポートを指定します。これは、1024 から 65535 までの値とします。

   6

   TLS 設定が設定されていない場合は、デフォルトの証明書が使用されます。詳細を確認するには、コマンド oc explain clusterlogforwarders.spec.inputs.receiver.tls を実行してください。

   7

   入力レシーバーのパイプラインを設定します。

3. 次のコマンドを実行して、ClusterLogForwarder CR に変更を適用します。

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、コレクターが <clusterlogforwarder_resource_name>-<input_name> 形式の名前を持つサービスでリッスンしていることを確認します。

   $ oc get svc

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                        TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)            AGE
   collector                   ClusterIP   172.30.85.239    <none>        24231/TCP          33m
   collector-syslog-receiver   ClusterIP   172.30.216.142   <none>        10514/TCP          2m20s

   Copy to Clipboard Toggle word wrap

   この出力例では、サービス名は collector-syslog-receiver です。

検証

1. 次のコマンドを実行して、認証局 (CA) 証明書ファイルを抽出します。

   $ oc extract cm/openshift-service-ca.crt -n <namespace>

   Copy to Clipboard Toggle word wrap
   注記

   コレクターが実行されているクラスター内の CA が変更された場合は、CA 証明書ファイルを再度抽出する必要があります。

2. たとえば、次のコマンドを実行して、curl コマンドを使用してログを送信します。

   $ curl --cacert <openshift_service_ca.crt> collector-syslog-receiver.<namespace>.svc:10514  “test message”

   Copy to Clipboard Toggle word wrap

   <openshift_service_ca.crt> は、抽出した CA 証明書ファイルに置き換えます。

手順

1. GCP から受け取ったサービスアカウントの認証情報を key.json という名前のファイルにコピーします。

2. 次のコマンドを実行して、logging-loki-gcs という名前のオブジェクトストレージシークレットを作成します。

   $ oc create secret generic logging-loki-gcs \
     --from-literal=bucketname="<bucket_name>" \
     --from-file=key.json="<path/to/key.json>"

   Copy to Clipboard Toggle word wrap

手順

1. openshift-logging namespace に ObjectBucketClaim カスタムリソースを作成します。

   apiVersion: objectbucket.io/v1alpha1
   kind: ObjectBucketClaim
   metadata:
     name: loki-bucket-odf
     namespace: openshift-logging
   spec:
     generateBucketName: loki-bucket-odf
     storageClassName: openshift-storage.noobaa.io

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、関連付けられた ConfigMap オブジェクトからバケットのプロパティーを取得します。

   BUCKET_HOST=$(oc get -n openshift-logging configmap loki-bucket-odf -o jsonpath='{.data.BUCKET_HOST}')
   BUCKET_NAME=$(oc get -n openshift-logging configmap loki-bucket-odf -o jsonpath='{.data.BUCKET_NAME}')
   BUCKET_PORT=$(oc get -n openshift-logging configmap loki-bucket-odf -o jsonpath='{.data.BUCKET_PORT}')

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、関連付けられたシークレットからバケットアクセスキーを取得します。

   ACCESS_KEY_ID=$(oc get -n openshift-logging secret loki-bucket-odf -o jsonpath='{.data.AWS_ACCESS_KEY_ID}' | base64 -d)
   SECRET_ACCESS_KEY=$(oc get -n openshift-logging secret loki-bucket-odf -o jsonpath='{.data.AWS_SECRET_ACCESS_KEY}' | base64 -d)

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、logging-loki-odf という名前のオブジェクトストレージシークレットを作成します。

   $ oc create -n openshift-logging secret generic logging-loki-odf \
   --from-literal=access_key_id="<access_key_id>" \
   --from-literal=access_key_secret="<secret_access_key>" \
   --from-literal=bucketnames="<bucket_name>" \
   --from-literal=endpoint="https://<bucket_host>:<bucket_port>"

   Copy to Clipboard Toggle word wrap