Filebeat на kubernetes - исключая пространства имен не работает

Question

У меня есть файл биения за пределами кластера kubernetes, установленный как приложение на хосте.Я хочу игнорировать два пространства имен в filebeat, так как они очень большие и мне не нужны в elastichsearch.

Вот мое входное определение в filebeat.yml:

- type: log
  enabled: true
  paths:
    - /var/lib/docker/containers/*/*.log
  json.message_key: log
  json.keys_under_root: true
  processors:
    - add_kubernetes_metadata:
        in_cluster: false
        host: main-backend
        kube_config: /etc/kubernetes/admin.conf
    - drop_event.when.regexp:
        or:
          - kubernetes.namespace: "kube-system"
          - kubernetes.namespace: "monitoring"

Тем не менее, я все еще вижу много журналов из этих пространств имен в моемasticsearch.Есть ли способ отладки, почему это происходит?

Answer 1

Можете ли вы попробовать, как указано ниже

- drop_event:
          when:
            or:
            - not:
                equals:
                  kubernetes.namespace: "kube-system"
            - not:
                equals:
                  kubernetes.namespace: "monitoring"
            - regexp:
                kubernetes.pod.name: "filebeat-*"
            - regexp:
                kubernetes.pod.name: "elasticsearch-*"