首选fluentd驱动可实现微服务stdout/stderr秒级日志采集进ELK，因其支持tag标记、JSON自动解析、字段补全及失败重试；syslog驱动适合已有Logstash环境；应避免json-file+Filebeat的落盘路径以规避延迟、权限与磁盘风险；须确保网络可达、时间同步、格式对齐三项连通性。
用 Docker 原生日志驱动就能实现微服务 stdout/stderr 的秒级日志采集进 ELK，关键不在“装多少组件”，而在驱动选得准、链路配得通、格式对得齐。不需要在每个容器里跑 Filebeat 或 logstash-agent，避免文件落地延迟和磁盘风险。
首选 fluentd 驱动：稳定+结构化+自带重试
fluentd 是目前与 ELK 集成最成熟的日志驱动，支持 tag 标记、JSON 自动解析、字段补全（如 @timestamp）、缓冲与失败重试，适合微服务高频写入场景。
- 启动容器时指定驱动和地址：docker run -d --log-driver=fluentd --log-opt fluentd-address=192.168.1.100:24224 --log-opt tag="svc.payment.%{id}" payment-service
- Fluentd 实例需启用 forward 输入插件（监听 24224），并配置 elasticsearch 输出插件，务必设 include_timestamp true，确保时间字段写入 ES 时准确对齐
- 推荐在 Fluentd 中统一添加 service、env、host 等字段，便于 Kibana 按微服务维度筛选和聚合
syslog 驱动：轻量快速，适合已有 Logstash 基础
若已部署 Logstash 且希望最小化依赖，可直接用 syslog 驱动发日志，Logstash 原生支持解析 syslog 协议，开箱即用。
- 容器启动命令示例：docker run -d --log-driver=syslog --log-opt syslog-address=tcp://192.168.1.100:514 --log-opt syslog-tag="order-api"
- Logstash 配置需启用 syslog input 插件，并用 date 过滤器解析原始时间（syslog 协议不带 ISO8601 时间戳，必须显式转换为 @timestamp）
- 建议在 filter 阶段用 dissect 或 grok 提取 %{tag} 字段，映射为 service_name，保持与 fluentd 路径的字段一致性
避开 json-file + Filebeat 的间接路径
虽然 docker logs 默认走 json-file 驱动，再用 Filebeat 扫描 /var/lib/docker/containers/ 目录也能进 ELK，但这属于“先落盘再采集”，存在三重隐患：
- 日志写入宿主机文件有毫秒级延迟，高并发下可能堆积，达不到“秒级”要求
- Filebeat 需 root 权限或挂载 docker.sock 才能读取容器日志路径，权限模型复杂
- 若未配置 max-size/max-file，单个 json.log 文件可能涨到 GB 级，触发磁盘告警甚至阻塞容器退出
三项基础连通性必须验证
无论选哪种驱动，以下三点不通，日志就进不了 Kibana：
- 网络可达：容器所在节点能 telnet 通 fluentd 或 logstash 的监听端口（如 24224 / 514 / 5044）
- 时间同步：所有节点（Docker Host、Fluentd/Logstash、ES）需 NTP 对时，误差控制在 1 秒内，否则 @timestamp 错乱导致 Kibana 时间轴偏移
- 格式对齐：所有微服务容器输出的日志尽量为 JSON 格式（如 {"level":"info","msg":"order created","trace_id":"abc"}），驱动可自动解析字段；非 JSON 日志至少保证每行一条，避免跨行截断
