Docker 로그

Docker 이벤트 로그를 HTTPS로 직접 Panther에 스트리밍하기

개요

Panther는 수집을 지원합니다 Docker 이벤트 이를 스트리밍하여 로그 HTTP 소스 Fluent Bit으로 전달된 후에 Fluent Bit.

Docker 이벤트를 Panther에 온보딩하는 방법

1단계: Panther에서 새 Docker Events 로그 소스 생성

1. Panther 콘솔의 왼쪽 내비게이션 바에서 클릭 구성 > 로그 소스.

2. 를 클릭하세요 새로 만들기(Create New).

3. "Docker Events"를 검색한 다음 해당 타일을 클릭합니다.

   • 슬라이드 아웃 패널에서 전송 메커니즘 오른쪽 상단의 드롭다운은 미리 HTTP 옵션으로 채워집니다.

4. 를 클릭하세요 설정 시작.

5. Panther의 HTTP 소스 구성에 대한 지침에서 5단계부터 시작합니다.

   • 에서 설정할 때 인증 방법 소스에는 다음 사용을 권장합니다 공유 비밀(Shared Secret).

   • 이 소스로 전송되는 페이로드는 다음의 적용을 받습니다 모든 HTTP 소스에 대한 페이로드 요구사항.

   • HTTP 엔드포인트 생성이 완료될 때까지 다음 단계로 진행하지 마세요.

HTTP 소스를 생성한 후 Panther 콘솔이 HTTP 소스 URL을 표시합니다. 다음 단계에서 필요하므로 이 값을 안전한 장소에 저장하세요.

2단계: Fluent Bit 구성

1. 다음을 따르세요 Fluent Bit 시작하기 지침 Fluent Bit을 서비스로 설치하려면.

2. 다음으로 파일을 생성하세요 Fluent Bit 구성 파일.

   • 아래의 Linux 및 macOS 샘플 구성 파일은 예시 구성 파일.

3. 새 구성 파일 경로를 지정하여 Fluent Bit을 시작하세요.

   • 다음의 경로를 포함해야 합니다 parser.conf 파일에는 docker 파서를 포함해야 합니다. 이는 fluent-bit에 기본으로 포함되어 있습니다. Linux에서는 다음 경로에서 찾을 수 있습니다 /etc/fluent-bit/parsers.conf.

     • return "HIGH" fluent-bit -c fluentbit.conf -R /etc/fluent-bit/parsers.conf

예시 구성 파일

Linux

Fluent Bit 구성 파일에서 다음을 구성하세요:

• [INPUT] 변수:

  • 이름(Name): 이것을 설정하세요 docker_events.

  • 파서: 이것을 설정하세요 docker.

• [OUTPUT] 변수:

  • 호스트: Panther URL을 입력하세요.

    • return "HIGH" logs.instance-name.runpanther.net

  • URI: HTTP 소스 수집 URL(이 프로세스의 1단계에서 생성된)의 끝 부분을 입력하고, 다음으로 시작하세요 /http/.

    • return "HIGH" /http/cb015ee4-543c-4489-9f4b-testaa16d7a

  • 헤더: Panther 콘솔에서 1단계 동안 HTTP 소스를 구성할 때 생성한 헤더 이름과 생성한 비밀을 입력하세요.

  • 이름(Name): 다음으로 설정하세요 http.

  • TLS: 다음으로 설정하세요 켜짐(ON).

  • 포트: 다음으로 설정하세요 443.

[SERVICE]
  flush      1

[INPUT]
  name       docker_events
  parser     docker

[OUTPUT]
  name       http
  match      *
  host       logs.instance.runpanther.net
  port       443
  URI        /http/70c55034-13f1-4e08-a018-test5f2bb0a8
  Header     x-panther-secret {YOUR_SECRET_HERE}
  Format     json_lines
  TLS        on
  TLS.Verify on

macOS

지원되는 로그 유형

Docker.Events

다음은 Docker 이벤트 로그 스키마를 정의합니다:

schema: Docker.Events
description: 컨테이너, 이미지, 네트워크 및 볼륨에 대한 시스템 수준 관리 작업을 감사하기 위한 Docker 이벤트
referenceURL: https://docs.docker.com/engine/reference/commandline/events/
필드:
  - 이름: status
    description: 이 이벤트의 작업 상태를 나타내는 문자열
    유형: 문자열
  - 이름: id
    description: 이벤트 ID
    유형: 문자열
  - name: from
    description: 이벤트가 발생한 출처의 컨텍스트
    유형: 문자열
  - 이름: Type
    description: 조작되는 객체의 유형. 객체 유형 목록은 참조를 참조하세요
    유형: 문자열
  - name: Action
    description: 수행된 작업. 유형마다 가능한 작업이 다릅니다. 이벤트 유형 목록은 참조를 확인하세요
    유형: 문자열
  - 이름: Actor
    description: 이벤트를 수행하는 행위자. Docker의 맥락에서는 반드시 최종 사용자를 의미하지 않으며 컨테이너 자체일 수 있습니다
    유형: 객체
    필드:
      - name: ID
        description: 행위자 ID
        유형: 문자열
        지표:
          - actor_id
      - name: Attributes
        description: 이벤트별 세부사항
        유형: json
  - name: scope
    description: 이벤트 유형에 따라 범위가 다릅니다. 로컬 범위 이벤트는 발생한 노드에서만 보이며, 스웜 범위 이벤트는 모든 매니저에서 보입니다.
    유형: 문자열
  - 이름: time
    필수: 예
    description: 이벤트가 발생한 시간(유닉스 초)
    유형: 타임스탬프
    시간 형식:
      - unix
    isEventTime: true
  - name: timeNano
    description: 나노초 단위의 이벤트 시간
    유형: 문자열