ECS Splunk 日志被 splunk-format raw 截断

Question

我有一个AWS ECS Cluster ，并在任务定义中使用Splunk日志记录和splunk-format: raw对其进行了配置，如下所示：

{
  "logConfiguration": {
    "logDriver": "splunk",
    "secretOptions": [
      {
        "valueFrom": "myarn",
        "name": "splunk-token"
      }
    ],
    "options": {
      "splunk-url": "my-splunk-url",
      "splunk-source": "my-splunk-source",
      "splunk-format": "raw"
    }
  }
}

我在 Splunk 中的所有仪表板都需要这种格式。 消息在4kb处被截断。 将格式更改为inline不会截断消息，但使用这种新格式需要在 Splunk 仪表板中进行大量返工。

有没有办法让它与splunk-format: raw一起工作而不会截断消息？

Answer 1

尝试通过任务定义中配置的环境变量SPLUNK_LOGGING_DRIVER_CHANNEL_SIZE来增加通道大小

根据https://docs.docker.com/config/containers/logging/splunk/上的文档，4kb 似乎是默认大小