本文分析在Kubernetes集群中使用Filebeat收集容器日志并写入Elasticsearch时遇到的问题：Filebeat服务正常运行，但日志无法写入Elasticsearch索引“test_index1”，且Filebeat日志显示连接ES失败。
问题根源在于Filebeat配置的日志路径/app/logs/*.jar.log与容器实际日志位置不符。Filebeat运行在Kubernetes节点主机上，而容器内的日志文件对主机不可见，除非通过卷挂载（Volume Mount）将容器日志目录映射到主机可访问的路径。
容器与主机文件系统相互隔离，Filebeat无法直接读取容器日志。要解决此问题，需要执行以下步骤：
-
卷挂载配置： 修改容器的部署文件（例如Deployment YAML），添加卷挂载，将容器内的日志目录映射到主机上的一个目录（例如
/var/log/containers）。 这需要在容器的定义中添加一个volumeMounts字段，以及在volumes字段中定义卷。 -
Filebeat配置修改： 修改Filebeat配置文件，使其监控步骤1中主机上挂载的目录，而不是
/app/logs/*.jar.log。 这将确保Filebeat能够访问容器的日志文件。
只有正确配置卷挂载并修改Filebeat配置文件后，Filebeat才能成功收集容器日志并写入Elasticsearch。 请注意，每个需要Filebeat访问日志的容器都需要单独配置卷挂载。 如果需要在主机上直接查看日志，则需要将主机目录挂载到容器的日志目录。 这需要仔细规划和配置Kubernetes的卷管理机制。
