2. Docker 日志管理：驱动、轮转与集中式收集

在 Docker 企业环境中，日志是故障排查和系统监控的第一手资料。本章深入解析 Docker 日志驱动机制、日志轮转配置以及企业级集中式日志收集方案（ELK / Loki），帮助运维人员构建可观测的日志体系。

2.1 Docker 日志驱动（Logging Driver）

Docker 通过 logging driver 将容器的 stdout/stderr 输出转发到不同的后端。默认驱动为 json-file，企业环境常切换为 journald 或 syslog 以适配现有基础设施。

2.1.1 配置日志驱动

全局配置（/etc/docker/daemon.json）：

{
  "log-driver": "journald",
  "log-opts": {
    "tag": "{{.Name}}/{{.ID}}"
  }
}

容器级别覆盖（docker run）：

docker run --log-driver syslog --log-opt syslog-address=tcp://192.168.1.100:514 \
  --log-opt tag="nginx-prod" nginx:latest

2.2 日志轮转配置

无论使用哪种驱动，日志轮转都是防止磁盘写满的关键措施。对于 json-file 驱动，Docker 原生支持轮转参数。

配置示例（daemon.json）：

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3",
    "compress": "true"
  }
}

2.3 集中式日志收集集成方案

企业级环境需要将分散在数百台宿主机上的容器日志统一收集、存储和检索。主流方案为 ELK（Elasticsearch + Logstash + Kibana） 和 Loki（Grafana Loki + Promtail）。

2.3.1 ELK 集成方案

典型架构：容器日志 → Filebeat（轻量采集器）→ Logstash（解析/过滤）→ Elasticsearch（存储/索引）→ Kibana（可视化）。

Filebeat 配置示例（filebeat.yml）：

filebeat.inputs:
- type: container
  paths:
    - '/var/lib/docker/containers/*/*.log'
  json.keys_under_root: true
  json.add_error_key: true

output.logstash:
  hosts: ["logstash.example.com:5044"]

2.3.2 Loki 集成方案

Loki 是 Grafana 推出的轻量级日志系统，不建立全文索引，仅对日志元数据（标签）建立索引，存储成本更低。典型架构：容器日志 → Promtail（采集器）→ Loki（存储/查询）→ Grafana（可视化）。

Promtail 配置示例（promtail.yml）：

scrape_configs:
- job_name: docker
  docker_sd_configs:
    - host: unix:///var/run/docker.sock
      refresh_interval: 15s
  relabel_configs:
    - source_labels: ['__meta_docker_container_name']
      target_label: 'container'
    - source_labels: ['__meta_docker_container_log_stream']
      target_label: 'log_stream'

2.4 方案对比与选型建议

2.5 故障排查常用命令

• 查看当前容器日志驱动： docker inspect --format '{{.HostConfig.LogConfig.Type}}' <container>
• 实时查看日志： docker logs -f --tail 100 <container>
• 检查日志文件大小： ls -lh /var/lib/docker/containers/$(docker ps -q --no-trunc)/*-json.log
• journald 查询容器日志： journalctl CONTAINER_NAME=nginx-prod --since "5 min ago"
• 测试 syslog 连通性： logger -n 192.168.1.100 -P 514 "test message"