Linux容器日志管理的核心在于隔离，需通过容器名与命名空间分离路径、选用支持标签路由的日志驱动、挂载隔离目录并绑定清理策略，实现按需分离与可控留存。
Linux容器日志管理的核心在于隔离——避免不同容器、服务或环境的日志混杂，影响排查效率和存储控制。关键不是“全量收集”，而是“按需分离、可控留存”。
按容器名与命名空间隔离日志路径
Docker 默认将容器 stdout/stderr 日志写入 /var/lib/docker/containers/，但 ID 难读且无业务语义。建议启动时通过 --name 显式命名，并配合日志驱动指定路径：
- 使用
local驱动 + 自定义路径：docker run --log-driver=local --log-opt max-size=10m --log-opt path=/var/log/myapp/web.log --name web-app nginx - 对 Kubernetes，可在 Pod 或 Container 级设置
logging.driver和logging.options（需 CRI 支持），或统一用containerd的crio.logging配置按命名空间归类目录
用日志驱动实现格式与路由分离
单一 JSON 日志虽通用，但不利于跨服务过滤。可选用支持标签路由的驱动提升隔离粒度：
-
fluentd驱动：通过--log-opt fluentd-address=...并在 Fluentd 配置中用label或container_name字段分流到不同文件或 ES 索引 -
syslog驱动：利用--log-opt syslog-tag="{{.Name}}"，让 rsyslog 根据 tag 写入/var/log/containers/web.log、/var/log/containers/db.log等独立文件 - 避免所有容器共用一个 syslog facility，应按业务域分配
local0～local7
运行时日志目录挂载 + 权限约束
对需要写文件日志的应用（如 Java 应用配置 log4j 输出到 /app/logs），不依赖容器 stdout，而是主动挂载隔离路径：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 为每个容器挂载唯一宿主机子目录：
-v /data/logs/myapp-web:/app/logs:rw,z，并确保该目录属主为容器内应用 UID - 配合
tmpfs挂载临时日志目录（如-v /app/logs:/app/logs:rw,tmpfs,size=50m），防止突发日志撑爆磁盘 - 在 Dockerfile 中用
USER 1001明确非 root 运行，并在宿主机预设目录权限：chown 1001:1001 /data/logs/myapp-web
清理策略必须绑定隔离单元
日志清理不能全局 sweep，否则误删高优先级日志。应按隔离边界设定 TTL 或大小上限：
- Docker 自带轮转：用
local驱动时，--log-opt max-size=20m --log-opt max-file=5对单个容器生效 - 宿主机上用
logrotate按路径 glob 匹配：/var/log/containers/*.log { rotate 7 daily missingok }，而非/var/log/**/*.log - Kubernetes 节点上，用 DaemonSet 部署
rsyslog或vector，按pod_name、namespace标签做保留策略，例如 “dev-ns 下日志保留 3 天，prod-ns 保留 30 天”
不复杂但容易忽略：隔离不是加一层目录或改个 tag 就结束，而是从容器启动方式、日志输出路径、驱动选型、到清理动作全部对齐同一维度（如容器名、服务名、环境标签）。保持这个一致性，日志才真正可定位、可审计、可伸缩。
