日志检索

日志查询

每个集群安装完云平台提供的日志插件后，方可在日志查询模块查询到该集群的日志。
如果已有elk集群，需要管理人员对该集群配置elk的集群接入参数。

日志查询功能图如下所示：

查询条件

1. 查询日志级别：可以多选（该功能需要日志采集时收录日志级别字段并配置日志级别字段，配置见下，如果没有配置，该查询条件不显示）
   
2. 查询资源：包括：集群（必选），命名空间（必选），无状态工作负载
3. 查询关键字：如果有多个关键字，用英文逗号分隔，多个查询条件视作and条件查询
   历史记录查询：保留最多20条历史记录
   
4. 查询时间：可以快速选择过去多久的时间、常用时间和自定义时间范围

查询结果

5. 日志量柱状图：展示某时间段内不同日志级别的日志数量，如果没有配置日志级别，则显示日志总量
   
   
   点击相应柱体，时间范围进一步缩小
   
6. 日志时间戳，容器组名称和日志：可以对时间进行排序
7. 改变日志显示行高：

• 换行显示所有日志内容
  
• 显示一行
  
• 显示三行
  

8. 详情按钮：可展示该条日志所有额外信息
   
   1. 选中日志高亮
   2. 可点击选中日志关闭详情；可点击其他未选中日志查看日志详情
   3. 点击可关闭
   4. 显示所有日志相关字段
9. 日志级别颜色标识：用于快速定位日志级别（需要配置日志级别）
   
10. 当检索结果大于500时，最多显示前500条日志，如果要查询更多，可以缩小查询条件

日志安装和配置

新集群没有日志系统时，需要安装日志插件

MCE 容器引擎 > 模板市场 > 系统插件 > elk-cluster > 安装

安装 Elasticsearch + Kibana + Filebeat，
安装完毕后就可进行日志查询

连接现有ELK集群，需要进行系统配置

如果云平台管理的集群已经配有ELK日志集群，需要管理员进行如下连接和字段的匹配。
前往 MCE 容器引擎 > 配置中心 > 系统配置 > 日志 > 选中需要配置的集群后，填写下属配置，*号为必须填写

1. enable*：启用
2. urls*：Elasticsearch集群连接地址
3. username：Elasticsearch用户名
4. password：Elasticsearch密码
5. index*：索引名，如果索引名里有命名空间，用占位字符串：<namespace>
6. offsetField*：日志采集后的偏移量字段，用来区分同一个时间戳下，日志的先后顺序
7. levelField：日志级别字段
8. nodeField：日志所在宿主机字段
9. namespaceField*：日志所属命名空间字段
10. appField*：工作负载字段
11. podField*：容器组字段