Docker日志：json-file与syslog驱动配置

理解Docker日志驱动与json-file默认机制

Docker日志驱动负责拦截容器进程的标准输出（stdout）与标准错误（stderr），并将其路由至指定存储或转发目标。默认情况下，Docker采用json-file驱动，将每条日志序列化为JSON对象并追加写入宿主机文件系统。日志文件默认存放于/var/lib/docker/containers/<容器ID>/<容器ID>-json.log路径下。该机制开箱即用，支持通过docker logs命令直接读取历史输出，非常适合单机开发与快速调试。然而，若不设置容量上限，日志文件将无限膨胀，极易耗尽宿主机磁盘空间，进而引发Docker守护进程异常或系统服务瘫痪。管理员可通过docker info查看全局默认驱动，或使用docker inspect检查具体容器的LogConfig字段。深入理解这一底层机制，是后续进行日志治理与容量规划的基础。

配置json-file日志轮转与容量限制

为规避磁盘占满风险，可通过修改Docker守护进程配置文件/etc/docker/daemon.json来启用日志轮转策略。在配置文件中指定log-driver为json-file，并在log-opts中设置max-size与max-file参数，例如{"max-size": "10m", "max-file": "3"}。该配置表示单个日志文件达到10MB后自动切割，最多保留3个历史文件，超出部分将被覆盖。修改完成后，必须执行systemctl restart docker重启服务以使全局配置生效。需特别注意，此配置仅对重启后新建的容器生效，已运行的容器仍沿用旧策略。验证时，可启动一个持续打印日志的测试容器，观察/var/lib/docker/containers目录下是否生成-json.log.1等轮转文件，并确认docker logs输出符合截断预期。

配置syslog驱动并发送容器日志

当企业需要将多节点容器日志集中收集时，syslog驱动是标准选择。配置时可在daemon.json中将log-driver设为syslog，并通过log-opts指定syslog-address参数，如tcp://192.168.1.100:514或udp://localhost:514。Docker会将容器日志封装为标准syslog格式（默认RFC 3164），通过网络协议发送至本地或远程的syslog服务器（如rsyslog、syslog-ng）。接收端需提前开启对应端口监听并定义日志落盘路径。验证流程包括：在目标服务器执行tail -f /var/log/syslog或使用journalctl -f，观察实时流入的日志条目是否包含容器ID、镜像名称及时间戳。若对接本地rsyslog，需确保已加载imtcp模块并重启服务。该架构有效解耦了日志存储与容器生命周期，便于后续接入ELK等集中分析平台。

对比验证两种驱动并排查常见问题

验证配置时，执行docker inspect <容器名> | grep -A 5 LogConfig可清晰查看当前生效的驱动及参数。docker logs命令仅对json-file驱动有效，而syslog日志需直接查询接收端文件。对比而言，json-file优势在于本地直读、延迟极低且无需额外组件，但缺乏跨主机集中管理能力；syslog则天然支持多节点汇聚与统一归档，适合生产环境，但高度依赖网络连通性。常见避坑点包括：一、修改daemon.json后未重启Docker或误以为对存量容器生效，导致配置未应用，需通过docker run --log-driver临时覆盖或重建容器；二、syslog采用UDP传输时易因网络抖动丢包，建议生产环境改用TCP并配置重试；三、max-size参数必须携带单位后缀（如m或k），否则解析失败。合理选型与严格验证是保障系统可观测性的核心。