企业官网建设流程全解析

Telegraf 容器化部署的两条落地路径：Docker 单机与 Kubernetes 集群

【免费下载链接】telegrafAgent for collecting, processing, aggregating, and writing metrics, logs, and other arbitrary data.项目地址: https://gitcode.com/GitHub_Trending/te/telegraf

Telegraf 是 InfluxData 出品的开源指标采集代理，TICK 栈中的数据收集组件，采集能力完全由插件组成。本文围绕 Telegraf 容器化部署展开，给出 Docker 单机与 Kubernetes 集群两条落地路径，按环境规模二选一即可。

Telegraf 为什么适合容器化

容器化把部署、配置、升级三件事统一起来，恰好解决插件式采集工具最大的运维痛点。Telegraf 是插件驱动的，内置三百多个输入插件，不同业务要拼出不同的采集链路；如果逐台机器手工安装，容易出现环境版本漂移、密钥散落在各处配置文件的问题。做成镜像后，运行依赖固定在镜像里，配置以文件形式挂载，collector 自身不保存状态、采集到的数据全部流向后端数据库，容器随时可以整体重建，日常运维只需要管住配置文件。

先选路线：Docker 还是 Kubernetes

动手之前先看这张表选路线，两条路径的本质差别不在镜像，而在环境规模与配置的分发方式。

口径：单机或少数节点直接用 Docker；已经管着集群就走 K8s 路径，不必绕行。官方镜像分 Debian 与 Alpine 两个基底，InfluxData 对最近三个次要版本提供安全更新，版本维护策略见容器化文档。

Docker 最小化部署

三条命令就能在单台上跑起采集。第一步，生成参考配置（内含全部插件样例，方便对照字段名）：

docker run --rm telegraf telegraf config > telegraf.conf

第二步，在生成文件里删掉用不到的插件段落，保留需要的输入与输出。例如留一个系统插件加 InfluxDB 输出，即[[inputs.cpu]]与[[outputs.influxdb]]，把输出的 urls 改成你的数据库地址。这是改 Telegraf 插件配置最快也最安全的方式：对着官方样例改，而不是凭记忆写。

第三步，挂载配置并指定 memlock 配额启动：

docker run -d --name telegraf \ -v $PWD/telegraf.conf:/etc/telegraf/telegraf.conf:ro \ --ulimit memlock=8192:8192 \ telegraf

memlock 警告的成因与两种解法

--ulimit memlock不是可选项：Telegraf 默认锁定一部分内存存放密钥，避免其被交换到磁盘留下痕迹，而容器运行时的默认可锁定内存配额偏小，配额不足时日志会打印Insufficient lockable memory。

• 提高配额（推荐）：启动时加--ulimit memlock=8192:8192，或在宿主机 shell 执行ulimit -l 8192。
• 关闭内存锁：给容器启动参数追加--unprotected标志，代价是密钥可能落盘，生产环境不建议。

K8s 的 DaemonSet 落地

集群里三个对象各司其职：DaemonSet 让每个节点都跑一份采集器，节点级指标不遗漏；ConfigMap 把配置文件变成带版本的对象，比挂本地文件可审计；Secret 存放密钥与 token，和普通配置隔离。

K8s 插件的 README 明确写着必须以 daemonset 形式运行、url 指向本机 kubelet。完整清单不贴，容器关键三个字段如下：

containers: - name: telegraf image: telegraf:latest resources: { limits: { cpu: 200m, memory: 256Mi } } volumeMounts: [{ name: config, mountPath: /etc/telegraf }]

ConfigMap 承载 telegraf.conf 内容，volume 名为 config，挂载路径对应即可：

kind: ConfigMap metadata: { name: telegraf-config } data: telegraf.conf: |+ [[inputs.kubernetes]] url = "http://127.0.0.1:10255"

RBAC 上，至少给服务账户读取并监听节点、Pod 的权限，collector 才能查询集群资源：

kind: ClusterRole rules: - apiGroups: [""] resources: ["nodes", "pods"] verbs: ["get", "list", "watch"]

把该 ClusterRole 绑到命名空间的 ServiceAccount、再写入 Pod 模板，配置分发链路就闭环了。

生产加固与资源调优

上线前建议做齐以下四项，全部是清单里的字段改动：

• 非 root 运行：官方镜像默认用户非 root，securityContext不要把它改成 root。
• 只读根文件系统：设置readOnlyRootFilesystem: true，给必须写入的临时目录挂 emptyDir，写入不落到镜像层。
• requests/limits 按区间取值而非固定值：小节点（<4 CPU）requests 50m/64Mi、limits 100m/128Mi；大节点（>8 CPU）requests 100m/128Mi、limits 200m/256Mi。
• 开启自监控：配置里加[[inputs.internal]]，默认 collect_memstats，数据库里能看到采集器自身的内存与 CPU。

输出指向 InfluxDB 集群时，token 务必放进 Secret 再在配置中引用，避免敏感值出现在 ConfigMap 里被所有人读到。

故障速查表

先对照下表定位，再逐条读日志：

延伸资料

• 容器化文档：镜像版本、夜间构建与内存锁细节
• K8s 插件源码与配置项：url、bearer_token、TLS 选项
• 内部指标插件：采集器自身资源用量的来源
• 配置说明：插件通用配置项与指标过滤

【免费下载链接】telegrafAgent for collecting, processing, aggregating, and writing metrics, logs, and other arbitrary data.项目地址: https://gitcode.com/GitHub_Trending/te/telegraf