关键在于Fluent Bit准确采集Nginx容器日志：推荐Nginx输出到stdout/stderr，由containerd转为JSON存入/var/log/containers/；Fluent Bit需启用CRI解析、kubernetes filter注入上下文，并确保节点时钟同步以实现跨节点时间对齐查询。
在 Kubernetes 集群中，Nginx 日志切割本身不是重点——因为 Pod 里的 Nginx 容器通常不自己做轮转，而是依赖容器运行时（如 containerd）的日志管理机制。真正关键的是：如何让 Fluent Bit 准确采集、打标、转发这些日志，并保持节点来源和时间可追溯。
让 Nginx 容器日志天然可采集
Nginx 默认写日志到 /var/log/nginx/access.log 和 error.log，但容器内这些路径只是普通文件，不会自动轮转。Kubernetes 不干预日志轮转，它把这事交给底层容器运行时处理：
- containerd 默认使用
cri-o或containerd-shim的日志驱动，将 stdout/stderr 输出转为 JSON 格式，存入/var/log/containers/*.log - 如果你坚持在容器内用
logrotate切割 Nginx 日志，必须挂载宿主机目录（如/data/logs/nginx），并确保 Fluent Bit 能监听该路径；否则切割后的access.log.2026-09-05文件会被 Fluent Bit 忽略（默认只扫/var/log/containers/） - 更推荐的做法：把 Nginx 配置成只输出到
stdout和stderr（用access_log /dev/stdout），这样日志直接进入容器运行时管道，无需手动切割，也天然兼容 Fluent Bit 的标准采集逻辑
Fluent Bit 配置需覆盖 Nginx 日志特征
默认的 Fluent Bit DaemonSet 配置（tail 输入插件 + /var/log/containers/*.log）能采集到 Nginx Pod 日志，但要确保内容可用，还需补充两件事：
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 在
[FILTER]中添加 CRI 解析：启用Parser插件解析 containerd 的 JSON 日志头，提取原始 Nginx 行（字段如log） - 注入 Pod 和节点上下文：用
filter_kubernetes自动注入namespace_name、pod_name、host等字段，避免后期查不出是哪个服务哪台机器打的日志 - 若 Nginx 容器用了自定义 log_format（比如含
$hostname），可在[FILTER]中用grep或modify提取关键字段，或在输出前用lua插件做轻量解析
时间对齐与查询阶段替代“合并”
多节点集群里，你不需要把所有 access.log 文件下载下来再拼一起。Fluent Bit 推送时已带 @timestamp（来自日志 JSON 中的 time 字段，精度到纳秒），且默认使用 UTC 时间戳：
- 确保所有节点系统时钟同步（用
chrony或systemd-timesyncd），这是跨节点时间对齐的前提 - 在 Elasticsearch 或 Loki 中，直接按时间范围查即可，例如查 9 月 5 日全天访问量：
{ "range": { "@timestamp": { "gte": "2026-09-05T00:00:00Z", "lt": "2026-09-06T00:00:00Z" } } } - 如需区分 Nginx 类型（Ingress Controller 还是 Sidecar），可在 Fluent Bit 的
[INPUT]中用Tag打标，例如Tag nginx-ingress.*，后续路由和索引策略都可基于 Tag 层级控制
异常情况下的兜底策略
即使配置正确，也可能遇到日志丢失或延迟，常见原因和应对方式如下：
- 容器重启太快，
tail插件没来得及读完旧日志文件 → 启用refresh_interval和skip_long_lines off，并设置db参数持久化读取位置 - Nginx 写日志缓冲导致延迟 → 在 Nginx 配置中加
buffer=8k flush=5s或直接设flush=1s，平衡性能与实时性 - 某节点 Fluent Bit 崩溃 → 依靠 DaemonSet 自愈能力重启；同时开启
storage.type filesystem，防止内存 buffer 丢失未发送日志
