用云日志服务 LTS 做应用告警的实践笔记

最近把一个小应用的日志接入了华为云云日志服务 LTS，顺手把告警也配上了，记录一下过程，方便后面复用。

一、日志采集

在 LTS 里先建日志组，再建日志流。主机采集用 ICAgent：在 ECS 上装好代理后，在控制台的「主机管理」里把机器加进主机组，然后在采集配置里指定日志路径（比如应用的 /var/log/app/*.log），关联到刚才的日志流。几分钟后在日志查询页就能看到实时日志了。

二、结构化处理

原始日志是纯文本，查询和告警都不好写。在日志流的结构化配置里，按样例日志提取字段，比如 level、traceId、cost_ms。字段结构化之后，查询可以直接写 level:ERROR 这种条件，出错日志一眼就能筛出来。

三、关键词告警规则

在「告警」里新建告警规则：查询条件为最近 5 分钟内 level:ERROR 的条数；触发条件为条数大于等于 3 时触发，避免偶发错误打扰；通知方式选消息中心通知。配完后故意在测试环境打了几条 ERROR 日志，5 分钟内收到了告警通知，链路是通的。

四、两个小坑

1. ICAgent 装好后如果日志一直不上报，先看主机组有没有关联采集配置，再看日志路径权限，应用进程对日志文件要有读权限。
2. 告警统计周期别设太短，1 分钟窗口容易因为日志上报延迟漏报，5 分钟比较稳。

整体下来配置不复杂，关键是先把结构化字段理顺，后面的查询、告警和仪表盘都是顺水推舟。