kubernetes - 如何配置默认的 splunk-kubernetes-logging 规则？

Question

我正在尝试在 Splunk 中为 Kubernetes pod 配置多行日志记录（我希望堆栈跟踪显示在单个事件中，而不是在每行中拆分为多个事件）。

通过像这样配置我们的splunk-kubernetes-logging values.yaml，我取得了一些成功：

my-app:
  from:
    pod: "my-app-*"
  multiline: 
    firstline: /^\d{4}\-\d{2}\-\d{2} \d{2}\:\d{2}\:\d{2}[\.\,]\d{3}/

这行得通，但我不想在每次部署应用程序时都在 yaml 中指定一个部分。所以我希望可能有一种方法可以有一个可覆盖的默认值，为此我尝试了这个：

default-app:
  from:
    pod: "*"
  multiline: 
    firstline: /^\d{4}\-\d{2}\-\d{2} \d{2}\:\d{2}\:\d{2}[\.\,]\d{3}/

但这没有任何效果。我为 pod 名称尝试了一些其他通配符（如"*-*"），但没有任何效果。我不明白为什么有些通配符有效（"my-app-*"）而其他通配符无效（"*"）。有没有办法实现我想要实现的目标？

标签： kubernetessplunk