Debian下Docker日志如何查看与分析

Debian下Docker日志查看与分析

一 快速查看容器日志

• 列出容器并定位目标：使用docker ps获取容器ID/名称。
• 基本查看：
  • 查看全部输出：docker logs <容器名或ID>
  • 实时跟踪：docker logs -f <容器名或ID>
  • 最近N条：docker logs --tail 100 <容器名或ID>
  • 带时间戳：docker logs -t <容器名或ID>
  • 指定时间范围：docker logs --since 30m <容器名或ID> 或 –since “2025-11-17 10:00:00”
  • 仅标准输出/错误：docker logs --stdout|–stderr <容器名或ID>
• 组合示例：实时查看最近100行并带时间戳
  • docker logs -f -t --tail=100 <容器名或ID>
• 若容器将日志写入文件（如应用自身日志），可进入容器查看：
  • docker exec -it <容器名或ID> /bin/bash
  • 容器内查看：cat /var/log/…、tail -f /var/log/… 等。

二 查看Docker引擎与系统日志

• Docker引擎日志（systemd）：
  • 查看服务日志：journalctl -u docker.service
  • 最近一次启动日志：journalctl -u docker.service -b
  • 按时间过滤：journalctl -u docker.service --since “2025-11-17 00:00:00”
• 宿主机系统日志：
  • 通用系统日志：tail -f /var/log/syslog 或 /var/log/messages
  • 认证日志：/var/log/auth.log；内核日志：/var/log/kern.log
• 排查思路：先查引擎日志定位守护进程问题，再查容器日志定位业务问题，必要时结合系统日志与资源监控。

三 日志分析与检索技巧

• 关键字与正则：
  • 过滤错误：docker logs <容器> | grep -i error
  • 多条件筛选：结合grep/awk/sed按时间、级别、IP、请求ID等字段提取
• 时间定位：优先使用**–since/–until缩小范围，再配合-t**输出时间戳做交叉验证
• 容器文件直查（json-file驱动）：
  • 日志路径：/var/lib/docker/containers/<容器ID>/<容器ID>-json.log
  • 示例：grep “timeout” /var/lib/docker/containers/*-json.log
• 资源与异常线索：
  • 实时资源：docker stats
  • 端口与网络：docker port <容器>；必要时用ss/tcpdump进一步抓包分析

四 日志轮转与空间控制

• 全局日志驱动与轮转（推荐）：编辑**/etc/docker/daemon.json**
  • 示例：
    • JSON文件驱动并限制大小
      • { “log-driver”: “json-file”, “log-opts”: { “max-size”: “10m”, “max-file”: “3” } }
    • 或采用更省磁盘的local驱动
      • { “log-driver”: “local”, “log-opts”: { “max-size”: “10m”, “max-file”: “3” } }
  • 使配置生效：sudo systemctl restart docker
  • 验证容器日志配置：docker inspect --format ‘{{.HostConfig.LogConfig}}’ <容器ID>
• 清理历史容器日志（谨慎）：
  • 删除7天前的容器JSON日志：
    • find /var/lib/docker/containers/ -name ‘*-json.log’ -mtime 7 -delete
• 编排环境：
  • Docker Compose：docker-compose logs -f -t --tail=100 <服务名>
  • Swarm 服务：docker service logs -f -t <服务名>

五 集中式日志与可视化

• 轻量可视化：部署Dozzle实时监控容器日志
  • 启动：docker run --name dozzle -d --volume=/var/run/docker.sock:/var/run/docker.sock -p 8080:8080 amir20/dozzle:latest
  • 访问：http://<服务器IP>:8080
• 集中式方案：将日志发送到ELK（Elasticsearch/Logstash/Kibana）、Graylog、Fluentd等平台，实现跨主机聚合、检索、可视化与告警。