本文探讨如何在Kubernetes集群中，使用ELK栈替代阿里云SLS，自动采集容器内非标准输出日志文件，实现类似阿里云SLS的日志采集功能。
阿里云SLS在Kubernetes服务中，通过设置Dockerfile中的环境变量（如aliyun_logs_xxxx_logstore，aliyun_logs_xxxx_project），即可自动将/code/logs/目录下的日志文件上传到SLS。这引发了关于其实现机制的疑问，因为环境变量在容器启动后才生效，而卷挂载发生在容器创建之前。
一种可能的解释是阿里云在容器内部运行了一个代理程序，该程序读取环境变量，并将日志文件转发到SLS。这与在Kubernetes集群中使用Filebeat等日志收集器从指定目录读取日志文件的原理相似。
直接从容器的标准输出和标准错误流收集日志，会影响多行日志的完整性，特别是堆栈错误信息。因此，本文推荐使用类似Filebeat的方案，从/code/logs/目录读取日志文件。
实现方案：在Pod中部署Filebeat实例，配置其读取/code/logs/目录下的日志文件，并将数据发送到Logstash，最终存储在Elasticsearch中。这需要在Pod的部署文件中进行配置，而非修改Dockerfile。 这种方法能够完整地采集多行日志，包括重要的堆栈错误信息，有效解决了多行日志完整性问题，并实现了与阿里云SLS类似的日志自动采集功能。
