Bottlerocket OS中通过SSM和Kubernetes API收集节点日志的实践指南

背景介绍

Bottlerocket作为一款专为容器环境设计的操作系统，其安全设计理念中移除了传统SSH服务。这种设计虽然提高了安全性，但也给运维人员收集节点日志带来了新的挑战。本文将详细介绍两种在Amazon EKS环境中获取Bottlerocket工作节点日志的有效方法。

方法一：通过SSM建立SSH隧道

这是官方推荐的标准化方法，适用于所有AWS环境：

1. 本地SSH配置准备 在运维人员的本地机器上编辑SSH配置文件(~/.ssh/config)，添加以下内容：

   host i-* mi-*
       ProxyCommand sh -c "aws ssm start-session --target %h --document-name AWS-StartSSHSession --parameters 'portNumber=%p'"
   

2. 建立SSH连接 配置完成后，可以通过标准SSH命令连接节点：

   ssh ec2-user@i-xxxxxxxxxxxxx
   

3. 进入管理容器 连接成功后，依次执行：

   enter-admin-container
   sudo sheltie
   logdog
   

4. 获取日志文件 生成的日志文件位于容器内的固定路径：

   /var/log/support/bottlerocket-logs.tar.gz
   

方法二：通过Kubernetes API获取

针对EKS环境的特殊优化方案，无需SSH配置：

1. 通过SSM接入节点 使用AWS Systems Manager会话管理器直接连接节点

2. 执行日志收集命令 在节点上依次执行：

   enter-admin-container
   sudo sheltie
   logdog
   

3. 通过kubectl获取日志 从任意可访问Kubernetes API的位置执行：

   kubectl get --raw "/api/v1/nodes/<node-name>/proxy/logs/support/bottlerocket-logs.tar.gz" > bottlerocket-logs.tar.gz
   

技术原理分析

1. logdog工具：Bottlerocket内置的日志收集工具，会自动打包系统关键日志
2. Kubernetes节点代理：kubelet提供的/proxy功能允许通过API Server访问节点文件系统
3. SSM隧道：利用AWS Systems Manager的会话管理功能建立加密通道

方案对比

特性	SSM+SSH方案	Kubernetes API方案
适用范围	所有AWS环境	仅限Kubernetes集群
网络要求	需要出网	仅需API Server可达
安全层级	较高	最高
依赖组件	AWS CLI	kubectl

最佳实践建议

1. 对于常规运维，推荐使用SSM+SSH方案，兼容性更好
2. 在严格的安全策略环境下，优先考虑Kubernetes API方案
3. 可将日志收集命令集成到CI/CD流水线中实现自动化
4. 定期清理旧的日志文件，避免磁盘空间占用

注意事项

1. 执行操作需要相应的IAM权限和kubeconfig配置
2. 日志文件可能包含敏感信息，传输过程建议加密
3. 不同Bottlerocket版本日志路径可能略有差异
4. 生产环境建议通过DaemonSet实现集群级别的日志收集

通过以上方法，运维人员可以在保持Bottlerocket安全特性的同时，有效获取节点日志进行故障排查和系统监控。