elasticsearch - 主机日记日志在EFK Kubernetes堆栈中不存在

Question

我正在使用kube-fluentd-operator将使用fluentd的日志聚合到Elasticsearch并在Kibana中查询它们。
我可以在群集中看到我的应用程序(容器)日志。
但是，我无法从群集内的主机看到日志日志(系统单位，kubelet等)。
流利的pod日志中没有明显的消息，并且该堆栈适用于来自应用程序的日志。
在fluentd容器内，我可以访问/var/log/journal目录(drwxr-sr-x 3 root 101 4096 May 21 12:37 journal)。
我应该在哪里寻找将日志记录到EFK堆栈中的位置？
这是附加到kube-system.conf命名空间的kube-system文件:

<match systemd.** kube.kube-system.** k8s.** docker>
  # all k8s-internal and OS-level logs

  @type elasticsearch
  host "logs-es-http.logs"
  port "9200"
  scheme "https"
  ssl_verify false
  user "u1"
  password "password"
  logstash_format true
  #with_transporter_log true
  #@log_level debug
  validate_client_version true
  ssl_version TLSv1_2
</match>

根据文档，最小，简单。
我的搜索词可能有误吗？
我应该搜索什么以获得日志日志？

Answer 1

在尝试了所有可能的解决方案之后(从启用log_level debug到仅监视kube-system命名空间，再向容器添加runAsGroup: 101)，剩下的一切就是更改我用于日志聚合的内容，并决定从该运算符切换到DaemonSet由fluent自己提供:https://github.com/fluent/fluentd-kubernetes-daemonset
事实证明，此切换成功，并且从EFK堆栈内部搜索systemd单位有效。