在 Loki 中删除日志的一部分

Question

我已经使用 grafana/loki-stack。

我还使用 Nginx helm 图表设置了 Nginx。

Promtail 正在将日志很好地摄取到 Loki 中，但我想自定义日志的外观。具体来说，我想删除日志的一部分，因为它在尝试使用 logfmt 或 json 解析日志时会产生错误（Error: LogfmtParserErr 和分别是错误：JsonParserErr）。

日志如下所示：

2022-02-21T13:41:53.155640208Z stdout F timestamp=2022-02-21T13:41:53+00:00 http_request_method=POST http_response_status_code=200 http_response_time=0.001 http_version=HTTP/2.0 http_request_body_bytes=0 http_request_bytes=63

我想删除其中显示 stdout F 的部分，因此日志将如下所示：

2022-02-21T13:41:53.155640208Z timestamp=2022-02-21T13:41:53+00:00 http_request_method=POST http_response_status_code=200 http_response_time=0.001 http_version=HTTP/2.0 http_request_body_bytes=0 http_request_bytes=63

我发现在摄取方面，它可能是 Promtail 的内容，但是是否也可以在 Loki 中进行 LogQL 查询来替换该字符串？如何设置 Promtail 配置来实现所需的行为？

Answer 1

根据文档，更好的方法是启用 cri 管道阶段而不是 docker 阶段。假设您正在从最近使用 CRI 的 kubernetes 安装中获取日志。

https://grafana.com/docs/loki/latest/clients/ promtail/配置/#cri

Answer 2

Promtail 应配置为将字符串替换为 replace< /代码>阶段。

以下是一个示例配置，它删除了来自命名空间 ingress 的所有日志的日志的 stdout F 部分。

promtail:
  enabled: true
  pipelineStages:
  - docker: {}
  - match:
      selector: '{namespace="ingress"}'
      stages:
      - replace:
          expression: "(stdout F)"
          replace: ""

具体来说，此示例适用于 grafana/loki-stack 图表。

Answer 3

尝试以下 Loki 查询：

{stream_selector="here"} | pattern "<time> stdout F <message>" | line_format "{{.time}} {{.message}}"

它使用 模式管道 来提取时间戳并从日志行记录消息。然后它使用 line_format 管道 格式化提取的内容时间戳和消息写入日志行。

PS 此查询在 LogsQL 中看起来更简单 - 我所处理的日志的替代查询语言：

_stream:{stream_selector="here"} | replace ("stdout F ", "")

请参阅替换管道。