ETW 日誌驅動程式

目錄

Windows 事件跟蹤 (ETW) 日誌驅動程式將容器日誌轉發為 ETW 事件。ETW 代表 Windows 事件跟蹤，是 Windows 中用於跟蹤應用程式的通用框架。每個 ETW 事件都包含一條訊息，其中包含日誌及其上下文資訊。然後，客戶端可以建立 ETW 偵聽器來偵聽這些事件。

此日誌驅動程式向 Windows 註冊的 ETW 提供程式具有以下 GUID 識別符號：{a3693192-9ed6-46d2-a981-f8226c8363bd}。客戶端建立 ETW 偵聽器並註冊以偵聽來自日誌驅動程式提供程式的事件。提供程式和偵聽器建立的順序無關緊要。客戶端可以在提供程式向系統註冊之前建立其 ETW 偵聽器並開始偵聽來自提供程式的事件。

使用

以下是如何使用大多數 Windows 安裝中包含的 logman 實用程式程式來偵聽這些事件的示例

  1. logman start -ets DockerContainerLogs -p {a3693192-9ed6-46d2-a981-f8226c8363bd} 0 0 -o trace.etl
  2. 透過在 Docker run 命令中新增 --log-driver=etwlogs 來執行您的容器（使用 etwlogs 驅動程式），並生成日誌訊息。
  3. logman stop -ets DockerContainerLogs
  4. 這將生成一個包含事件的 etl 檔案。將此檔案轉換為人類可讀格式的一種方法是執行：tracerpt -y trace.etl。

每個 ETW 事件都包含以下格式的結構化訊息字串

container_name: %s, image_name: %s, container_id: %s, image_id: %s, source: [stdout | stderr], log: %s

有關訊息中每個專案的詳細資訊，請參閱以下內容

欄位說明
container_name容器啟動時的名稱。
image_name容器映像的名稱。
container_id完整的 64 個字元的容器 ID。
image_id容器映像的完整 ID。
sourcestdout 或 stderr。
log容器日誌訊息。

以下是一個示例事件訊息（輸出格式可讀）

container_name: backstabbing_spence,
image_name: windowsservercore,
container_id: f14bb55aa862d7596b03a33251c1be7dbbec8056bbdead1da8ec5ecebbe29731,
image_id: sha256:2f9e19bd998d3565b4f345ac9aaf6e3fc555406239a4fb1b1ba879673713824b,
source: stdout,
log: Hello world!

客戶端可以解析此訊息字串以獲取日誌訊息及其上下文資訊。時間戳也位於 ETW 事件中。

注意

此 ETW 提供程式僅發出訊息字串，而不是專門結構化的 ETW 事件。因此，您無需向系統註冊清單檔案即可讀取和解釋其 ETW 事件。