日志服务：使用Kafka协议上传日志

相关限制

• 支持的Kafka协议版本最低为2.1.0。

• 为保证日志传输安全性，必须使用SASL_SSL连接协议。

权限说明

以下两个权限规则满足其中之一即可。

• 日志服务系统权限策略参考

  本策略定义了管理日志服务（Log）的权限。授权方式请参见为RAM用户授权和为RAM角色授权。

• 自定义权限策略

  1. 创建一个自定义权限策略，其中在脚本编辑页签，请使用以下脚本替换配置框中的原有内容。具体操作，请参见创建自定义权限策略。

     说明

     脚本中的Project名称请根据实际情况替换。

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": "log:GetProject",
                 "Resource": "acs:log:*:*:project/project名称",
                 "Effect": "Allow"
             },
             {
                 "Action": [
                     "log:GetLogStore",
                     "log:ListShards",
                     "log:PostLogStoreLogs"
                 ],
                 "Resource": "acs:log:*:*:project/project名称/logstore/*",
                 "Effect": "Allow"
             }
         ]
     }

  2. 为RAM用户添加创建的自定义权限策略。具体操作，请参见为RAM用户授权。

配置方式

示例一：通过Beats系列软件上传日志

Beats系列软件（MetricBeat、PacketBeat、Winlogbeat、Auditbeat、Filebeat、Heartbeat等）采集到日志后，支持通过Kafka协议将日志上传到日志服务。更多信息，请参见Beats-Kafka-Output。

• 配置示例

  示例中用到的SLS_开头的参数配置请参见配置方式。

  output.kafka:
    # initial brokers for reading cluster metadata
    hosts: ["SLS_KAFKA_ENDPOINT"]
    username: "SLS_PROJECT"
    password: "SLS_PASSWORD"
    ssl.certificate_authorities:
    # message topic selection + partitioning
    topic: 'SLS_LOGSTORE'
    partition.round_robin:
      reachable_only: false
  
    required_acks: 1
    compression: gzip
    max_message_bytes: 1000000

示例二：通过Collectd上传日志

Collectd是一个守护（daemon）进程，用于定期采集系统和应用程序的性能指标，并支持通过Kafka协议上传到日志服务。更多信息，请参见Write Kafka Plugin。

将Collectd采集到日志上传到日志服务时，还需安装Kafka插件以及相关依赖。例如：在linux Centos中，可以使用yum安装Kafka插件，命令为sudo yum install collectd-write_kafka，安装RPM请参见Collectd-write_kafka。

• 配置示例

  • 示例中将日志输出格式（Format）设置为JSON，除此之外，还支持Command、Graphite类型。更多信息，请参见Collectd配置文档。

  • 示例中用到的SLS_开头的参数配置请参见配置方式。

  LoadPlugin write_kafka
  
  <Plugin write_kafka>
    Property "metadata.broker.list" "SLS_KAFKA_ENDPOINT"
    Property "security.protocol" "sasl_ssl"
    Property "sasl.mechanism" "PLAIN"
    Property "sasl.username" "SLS_PROJECT"
    Property "sasl.password" "SLS_PASSWORD"
    Property "broker.address.family" "v4"
    <Topic "SLS_LOGSTORE">
      Format JSON
      Key "content"
    </Topic>
  </Plugin>

示例三：使用Telegraf上传日志

Telegraf是由Go语言编写的代理程序，内存占用小，用于收集、处理、汇总数据指标。Telegraf具有丰富的插件及集成功能，可从其运行的系统中获取各种指标、从第三方API中获取指标以及通过statsd和Kafka消费者服务监听指标。

将Telegraf采集到的日志通过Kafka协议上传到日志服务前，您需要先修改配置文件。

• 配置示例

  • 示例中将日志输出格式（Format）设置为JSON，除此之外还支持Graphite、Carbon2等类型。更多信息，请参见Telegraf输出格式。

    说明

    Telegraf必须配置一个合法的tls_ca路径，使用服务器自带的根证书的路径即可。Linux环境中，根证书CA路径一般为/etc/ssl/certs/ca-bundle.crt。

  • 示例中用到的SLS_开头的参数配置请参见配置方式。

  # Kafka output plugin configuration
  [[outputs.kafka]]
    ## URLs of kafka brokers
    brokers = ["SLS_KAFKA_ENDPOINT"]
    ## Kafka topic for producer messages
    topic = "SLS_LOGSTORE"
    routing_key = "content"
    ## CompressionCodec represents the various compression codecs recognized by
    ## Kafka in messages.
    ## 0 : No compression
    ## 1 : Gzip compression
    ## 2 : Snappy compression
    ## 3 : LZ4 compression
    compression_codec = 1
    ## Optional TLS Config tls_ca = "/etc/ssl/certs/ca-bundle.crt"
    tls_cert = "/etc/ssl/certs/ca-certificates.crt" # tls_key = "/etc/telegraf/key.pem"
    ## Use TLS but skip chain & host verification
    # insecure_skip_verify = false
    ## Optional SASL Config
    sasl_username = "SLS_PROJECT"
    sasl_password = "SLS_PASSWORD"
    ## Data format to output.
    ## https://github.com/influxdata/telegraf/blob/master/docs/DATA_FORMATS_OUTPUT.md
    data_format = "json"

示例四：使用Fluentd上传日志

Fluentd是一个开源的日志收集器，是云端原生计算基金会（CNCF）的成员项目之一，遵循Apache 2 License协议。

Fluentd支持众多输入、处理、输出插件，支持通过Kafka插件将日志上传到日志服务，您只需安装并配置Kafka插件即可。更多信息，请参见fluent-plugin-kafka。

• 配置示例

  • 示例中将日志输出格式（Format）设置为JSON，除此之外还支持数十种Format类型。更多信息，请参见Fluentd Formatter。

  • 示例中用到的SLS_开头的参数配置请参见配置方式。

  <match **>
    @type kafka2
    brokers     SLS_KAFKA_ENDPOINT
    default_topic SLS_LOGSTORE
    default_message_key content
    sasl_over_ssl true
    use_event_time true
    username SLS_PROJECT
    password "SLS_PASSWORD"
    ssl_ca_certs_from_system true
    # ruby-kafka producer options
    max_send_retries 1000
    required_acks 1
    compression_codec gzip
    use_event_time true
    max_send_limit_bytes 2097152
  
    <buffer hostlogs>
      flush_interval 10s
    </buffer>
    <format>
      @type json
    </format>
  </match>

示例五：使用Logstash上传日志

Logstash是一个具备实时处理能力、开源的日志采集引擎，可以动态采集不同来源的日志。

示例六：通过Fluent-bit上传日志

Fluent-bit是一个轻量级、高可扩展的日志与指标的处理器、转发器，支持众多输入、处理和输出插件，支持通过Kafka插件将日志上传到日志服务。更多信息，请参见Kafka output plugin。

• 配置示例

  示例中用到的SLS_开头的参数配置请参见配置方式。

  [Output]
      Name    kafka
      Match    *
      Brokers   SLS_KAFKA_ENDPOINT
      Topics    SLS_LOGSTORE
      Format    json
      rdkafka.sasl.username   SLS_PROJECT
      rdkafka.sasl.password   SLS_PASSWORD
      rdkafka.security.protocol   SASL_SSL
      rdkafka.sasl.mechanism      PLAIN

示例七 ：Vector配置Kafka协议上传

Vector是一款轻量级、高性能的日志处理软件，它支持Kafka协议的方式上报日志。下面是Vector通过Kafka兼容模式写入SLS的配置方法。

• 配置示例

  示例中用到的SLS_开头的参数配置请参见配置方式。

  [sinks.aliyun_sls]
    type = "kafka"
    inputs = ["test_logs"]
    bootstrap_servers = "SLS_KAFKA_ENDPOINT"
    compression = "gzip"
    healthcheck = true
    topic = "SLS_LOGSTORE"
    encoding.codec = "json"
    sasl.enabled = true
    sasl.mechanism = "PLAIN"
    sasl.username = "SLS_PROJECT"
    sasl.password = "SLS_PASSWORD"
    tls.enabled = true

示例八：通过Kafka生产者（produce）上传日志

• 代码示例

  package org.example;
  
  import org.apache.kafka.clients.producer.KafkaProducer;
  import org.apache.kafka.clients.producer.ProducerRecord;
  import org.apache.kafka.common.serialization.StringSerializer;
  
  import java.util.Properties;
  
  public class KafkaProduceExample {
  
      public static void main(String[] args) {
          //配置信息。
          Properties props = new Properties();
          String project = "etl-dev";
          String logstore = "testlog";
          // 如果希望produce的内容被json解析展开，则设置为true
          boolean parseJson = true;
          // 阿里云账号AccessKey拥有所有API的访问权限，风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维，请登录RAM控制台创建RAM用户。
          // 此处以把AccessKey 和 AccessKeySecret 保存在环境变量为例说明。您可以根据业务需要，保存到配置文件里。
          // 强烈建议不要把 AccessKey 和 AccessKeySecret 保存到代码里，会存在密钥泄漏风险
          String accessKeyID = System.getenv("SLS_ACCESS_KEY_ID");
          String accessKeySecret = System.getenv("SLS_ACCESS_KEY_SECRET");
          String endpoint = "cn-huhehaote.log.aliyuncs.com"; // 根据实际project所在的endpoint配置
          String port = "10012"; // 公网用10012，私网用10011
  
          String hosts = project + "." + endpoint + ":" + port;
          String topic = logstore;
          if(parseJson) {
              topic = topic + ".json";
          }
  
          props.put("bootstrap.servers", hosts);
          props.put("security.protocol", "sasl_ssl");
          props.put("sasl.mechanism", "PLAIN");
          props.put("sasl.jaas.config",
                  "org.apache.kafka.common.security.plain.PlainLoginModule required username=\"" +
                          project + "\" password=\"" + accessKeyID + "#" + accessKeySecret + "\";");
          props.put("enable.idempotence", "false"); // SLS的Kafka写入接口不支持事务
  
          //设置数据key和value的序列化处理类。
          props.put("key.serializer", StringSerializer.class);
          props.put("value.serializer", StringSerializer.class);
  
          //创建生产者实例。
          KafkaProducer<String,String> producer = new KafkaProducer<>(props);
  
          //发送记录
          for(int i=0;i<1;i++){
              String content = "{\"msg\": \"Hello World\"}";
              ProducerRecord record = new ProducerRecord<String, String>(topic, content);
              producer.send(record);
          }
          producer.close();
      }
  }

• pom依赖

  <dependency>
      <groupId>org.apache.kafka</groupId>
      <artifactId>kafka-clients</artifactId>
      <version>2.1.0</version>
  </dependency>

错误信息