panikgaul/logstash

镜像概述

本镜像基于Logstash构建，预安装logstash-input-journald插件，专门用于从systemd journal中高效采集日志数据，增强日志收集与处理能力，适用于Linux系统日志集中管理场景。

核心功能和特性

• 预集成关键插件：包含logstash-input-journald插件，支持直接从systemd journal收集日志
• 原生系统集成：与Linux systemd journal无缝对接，无需额外工具即可获取系统日志
• 兼容性：保留Logstash核心功能，可与其他输入/输出插件配合，实现日志处理与转发

使用场景

• Linux系统日志集中收集与分析
• systemd管理服务的日志监控
• 系统故障排查时的日志数据采集
• ELK（Elasticsearch, Logstash, Kibana）栈日志收集组件

使用方法

基本运行命令

bash
docker run -d \
  --name logstash-journald \
  --volume /var/log/journal:/var/log/journal:ro \
  --volume /run/log/journal:/run/log/journal:ro \
  --volume /path/to/logstash/config:/usr/share/logstash/pipeline \
  [镜像名称]:[标签]

配置示例

创建Logstash配置文件（如/path/to/logstash/config/logstash.conf）：

ruby
input {
  journald {
    path => "/var/log/journal"  # journald日志存储路径
    seekto => "end"             # 从日志末尾开始收集（可选："beginning"从开始）
    type => "systemd-journal"   # 日志类型标识
    tags => ["system", "journald"]  # 自定义标签
  }
}

output {
  # 示例：输出到标准输出（可替换为Elasticsearch等）
  stdout { codec => rubydebug }
}

权限说明

• 需挂载主机journald日志目录（通常为/var/log/journal和/run/log/journal），并设置只读权限（:ro）
• 若遇到权限问题，可添加--user root参数运行容器（生产环境建议配置最小权限用户）