Документация Proto Observability Platform – интеграция

Guides: Интеграция с Grafana

Mon, 01 Jan 0001 00:00:00 +0000

Proto Observability Platform хранит телеметрию в открытых стандартных хранилищах. Это позволяет подключить к платформе внешнюю Grafana и строить в ней собственные дашборды — например, вынести часть данных ProtoOBP в существующие управленческие дашборды.

На этой странице:

Что и откуда берётся
Способы доступа: прямой и через шлюз
Шаг 1. Открыть порты источников
Шаг 2. Read-only пользователь ClickHouse
Шаг 3. Секрет Cube.js
Шаг 4. Установка плагинов Grafana
Шаг 5. Настройка датасорсов
Примеры запросов для панелей
Примеры дашбордов
Диагностика типовых проблем

Что и откуда берётся

Данные	Хранилище	Порт	Протокол	Плагин Grafana
Метрики	VictoriaMetrics	`8428`	PromQL	VictoriaMetrics или Prometheus
Логи	VictoriaLogs	`9428`	LogsQL	VictoriaLogs
Трейсы	ClickHouse (`proto.spans`)	`8123`	SQL	ClickHouse
OLAP-аналитика	Cube.js	`4000`	REST	Cube

Требуется Grafana 12.2.5 или новее — актуальные версии плагинов datasource не запускаются на более ранних релизах.

Способы доступа: прямой и через шлюз

Есть два варианта получения данных внешним клиентом:

Прямой доступ к хранилищам (описан на этой странице). Grafana подключается напрямую к портам VM/VL/ClickHouse/Cube. Подходит для развёртывания внутри доверенной сети с ограничением доступа по IP. Простая настройка, не требует токенов.
Доступ через шлюз платформы с RBAC-разграничением по сервисам (/promqlapi/, /logsqlapi/, /cubejs-api/ с Bearer-токеном proto-auth). Описан в разделе Справочник API. Применяйте его, когда нужен разграниченный по правам доступ или когда хранилища нельзя открывать напрямую.

Ниже описан прямой доступ. Ограничьте сетевой доступ к портам источников файрволом/allowlist.

Шаг 1. Открыть порты источников

По умолчанию хранилища доступны только во внутренней docker-сети платформы. Чтобы к ним подключилась внешняя Grafana, опубликуйте порты. Создайте рядом с основным compose-файлом платформы override и примените его:

# docker-compose.grafana.yaml
services:
 proto-metric-storage:
 ports:
 - "8428:8428" # VictoriaMetrics
 proto-log-storage:
 ports:
 - "9428:9428" # VictoriaLogs
 proto-database:
 ports:
 - "8123:8123" # ClickHouse (HTTP)
 proto-data-analyzer-api:
 ports:
 - "4000:4000" # Cube.js

Основной compose-файл платформы содержит номер версии в имени — docker-compose-<версия>.yaml (например docker-compose-201.yaml):

docker compose -f docker-compose-201.yaml -f docker-compose.grafana.yaml up -d

Рекомендуется привязать публикацию к внутреннему интерфейсу, а не ко всем сразу, например "10.0.0.5:8428:8428", и/или закрыть порты файрволом.

Проверка доступности с хоста платформы:

curl -s "http://localhost:8428/api/v1/query?query=vector(1)" # VM → JSON
curl -s "http://localhost:9428/select/logsql/query?query=*&limit=1" -o /dev/null -w "VL %{http_code}\n"
curl -s "http://localhost:8123/ping" # CH → Ok.
curl -s "http://localhost:4000/readyz" # Cube → ready

Шаг 2. Read-only пользователь ClickHouse

Для трейсов заведите в ClickHouse отдельного пользователя только на чтение. Профиль readonly = 2 запрещает запись и DDL, но разрешает установку session-настроек, которые отправляет плагин Grafana (readonly = 1 их отклонит).

Выполните SQL от имени административной учётной записи ClickHouse — её имя и пароль для proto-database предоставляются вендором по запросу (прикладной пользователь платформы не имеет права CREATE USER):

CREATE SETTINGS PROFILE IF NOT EXISTS grafana_readonly SETTINGS readonly = 2;

CREATE USER IF NOT EXISTS grafana_ro
 IDENTIFIED WITH sha256_password BY '<пароль>'
 SETTINGS PROFILE 'grafana_readonly';

GRANT SELECT ON proto.* TO grafana_ro;

docker exec -i proto-database clickhouse-client \
 --user <admin-user> --password '<admin-pw>' --multiquery <<'SQL'
CREATE SETTINGS PROFILE IF NOT EXISTS grafana_readonly SETTINGS readonly = 2;
CREATE USER IF NOT EXISTS grafana_ro IDENTIFIED WITH sha256_password BY '<пароль>' SETTINGS PROFILE 'grafana_readonly';
GRANT SELECT ON proto.* TO grafana_ro;
SQL

Проверка: SELECT count() FROM proto.spans под grafana_ro работает, INSERT и DROP отклоняются.

Шаг 3. Секрет Cube.js

Отдельный токен для Cube заводить не нужно — плагин Grafana сам подписывает JWT секретом Cube. Понадобится значение CUBEJS_API_SECRET контейнера proto-data-analyzer-api:

docker exec proto-data-analyzer-api printenv CUBEJS_API_SECRET

Это значение указывается в настройках Cube-датасорса (см. шаг 5).

Шаг 4. Установка плагинов Grafana

Установите в Grafana четыре плагина datasource:

victoriametrics-metrics-datasource
victoriametrics-logs-datasource
grafana-clickhouse-datasource
grafana-cube-datasource

При запуске Grafana в Docker их можно поставить переменной окружения:

environment:
 GF_INSTALL_PLUGINS: "victoriametrics-metrics-datasource,victoriametrics-logs-datasource,grafana-clickhouse-datasource,grafana-cube-datasource"

Шаг 5. Настройка датасорсов

Ниже — пример автопровижининга (provisioning/datasources/datasources.yaml). Замените <хост-ProtoOBP> на адрес хоста платформы, а креды — на заданные ранее.

apiVersion: 1
datasources:
 - name: ProtoOBP-Metrics
 uid: pobp-metrics
 type: victoriametrics-metrics-datasource
 access: proxy
 url: http://<хост-ProtoOBP>:8428
 isDefault: true
 jsonData:
 httpMethod: POST

 - name: ProtoOBP-Logs
 uid: pobp-logs
 type: victoriametrics-logs-datasource
 access: proxy
 url: http://<хост-ProtoOBP>:9428

 - name: ProtoOBP-ClickHouse
 uid: pobp-clickhouse
 type: grafana-clickhouse-datasource
 access: proxy
 jsonData:
 host: <хост-ProtoOBP>
 port: 8123
 protocol: http
 username: grafana_ro
 defaultDatabase: proto
 secureJsonData:
 password: <пароль-grafana_ro>

 - name: ProtoOBP-Cube
 uid: pobp-cube
 type: grafana-cube-datasource
 access: proxy
 url: http://<хост-ProtoOBP>:4000
 jsonData:
 deploymentType: self-hosted
 secureJsonData:
 apiSecret: <CUBEJS_API_SECRET>

Cube.js: адрес

В поле URL Cube-датасорса указывается базовый адрес http://host:4000 — плагин сам добавляет путь /cubejs-api/v1. Полный путь в URL приведёт к ошибке 404 при проверке подключения.

После настройки проверьте каждый датасорс кнопкой Save & Test — все четыре должны быть исправны.

Примеры запросов для панелей

Метрики (PromQL, VictoriaMetrics)

Golden signals по сервисам:

sum by (service) (services_calls) # пропускная способность (calls/min)
avg by (service) (services_callduration) # средняя латентность, мс
max by (service) (services_errorcallsperc) # доля ошибок, %

Переменную дашборда service удобно наполнять из label_values(services_calls, service).

Логи (LogsQL, VictoriaLogs)

* | stats by (status) count() # объём логов по severity (statsRange)
status:(error OR critical) | sort by (_time desc) | limit 100 # последние ошибки (панель Logs, instant)

Поля логов: _msg, status (уровень: info/warn/error/critical), service, hostname. Для графика «объём по severity» задайте тип запроса statsRange (стат-агрегация во времени с авто-бакетингом); для панели логов «последние ошибки» — instant (панель типа Logs, а не таблица).

Трейсы (SQL, ClickHouse)

Поиск рутовых спанов (таблица):

SELECT lower(hex(traceID)) AS trace_id, service, name AS operation,
 toUnixTimestamp64Milli(start) AS start_ms,
 round(duration/1e6, 2) AS duration_ms, error
FROM proto.spans
WHERE $__timeFilter(start) AND is_top_level = 1
ORDER BY start DESC LIMIT 100

Waterfall выбранного трейса (панель типа Traces, формат trace):

SELECT lower(hex(s.traceID)) AS traceID, toString(s.spanID) AS spanID,
 if(s.parentID = 0, '', toString(s.parentID)) AS parentSpanID,
 s.service AS serviceName, s.name AS operationName,
 toUnixTimestamp64Milli(s.start) AS startTime, s.duration/1e6 AS duration,
 arrayMap(k -> map('key', k, 'value', s.meta[k]), mapKeys(s.meta)) AS tags
FROM proto.spans AS s
WHERE lower(hex(s.traceID)) = '${trace_id}'
ORDER BY s.start ASC

Особенности схемы proto.spans: traceID — UInt128 (приводится к hex-строке); длительность хранится в наносекундах (делится на 1e6 для миллисекунд); теги лежат в поле meta (Map).

ClickHouse: алиасы колонок

В запросе waterfall колонки квалифицированы через алиас таблицы (s.traceID), поскольку выходная колонка называется так же (AS traceID). Без квалификации ClickHouse в WHERE подставит алиас вместо исходной колонки, и результат будет пустым.

OLAP-аналитика (Cube.js)

Вызовы по сервисам за период (таблица или barchart):

{
 "measures": ["Calls.count"],
 "dimensions": ["Calls.service"],
 "timeDimensions": [ { "dimension": "Calls.date", "dateRange": "Last 24 hours" } ],
 "order": [ ["Calls.count", "desc"] ],
 "limit": 10
}

Cube предоставляет 60+ моделей (сервисы, вызовы, ошибки, RUM, бизнес-транзакции, алерты и др.) — полный список доступен через /cubejs-api/v1/meta.

Примеры дашбордов

Четыре готовых дашборда ниже используют uid датасорсов из шага 5. Импорт: Dashboards → New → Import → вставьте JSON → при необходимости сопоставьте датасорсы. Запросы панелей разобраны в разделе Примеры запросов.

Метрики — Golden Signals

Пропускная способность, латентность и доля ошибок по сервисам с фильтром service вверху.

JSON для импорта

{
 "uid": "pobp-metrics-golden",
 "title": "ProtoOBP — Метрики (Golden Signals)",
 "schemaVersion": 39,
 "version": 1,
 "time": { "from": "now-3h", "to": "now" },
 "templating": {
 "list": [
 {
 "name": "service",
 "type": "query",
 "datasource": { "type": "victoriametrics-metrics-datasource", "uid": "pobp-metrics" },
 "query": { "query": "label_values(services_calls, service)", "refId": "ServiceVar" },
 "refresh": 2, "includeAll": true, "multi": true, "allValue": ".*",
 "current": { "text": "All", "value": "$__all" }, "sort": 1
 }
 ]
 },
 "panels": [
 {
 "id": 1, "type": "timeseries", "title": "Пропускная способность (calls/min) по сервисам",
 "gridPos": { "h": 8, "w": 24, "x": 0, "y": 0 },
 "datasource": { "type": "victoriametrics-metrics-datasource", "uid": "pobp-metrics" },
 "targets": [ { "refId": "A", "expr": "sum by (service) (services_calls{service=~\"$service\"})", "legendFormat": "{{service}}" } ]
 },
 {
 "id": 2, "type": "timeseries", "title": "Латентность (avg, мс) по сервисам",
 "gridPos": { "h": 8, "w": 12, "x": 0, "y": 8 },
 "datasource": { "type": "victoriametrics-metrics-datasource", "uid": "pobp-metrics" },
 "fieldConfig": { "defaults": { "unit": "ms" }, "overrides": [] },
 "targets": [ { "refId": "A", "expr": "avg by (service) (services_callduration{service=~\"$service\"})", "legendFormat": "{{service}}" } ]
 },
 {
 "id": 3, "type": "timeseries", "title": "Доля ошибок (%) по сервисам",
 "gridPos": { "h": 8, "w": 12, "x": 12, "y": 8 },
 "datasource": { "type": "victoriametrics-metrics-datasource", "uid": "pobp-metrics" },
 "fieldConfig": { "defaults": { "unit": "percent" }, "overrides": [] },
 "targets": [ { "refId": "A", "expr": "max by (service) (services_errorcallsperc{service=~\"$service\"})", "legendFormat": "{{service}}" } ]
 }
 ]
}

Логи — Explorer

Объём логов по уровням (временной ряд, запрос типа statsRange) и панель логов с последними ошибками (время + сообщение, метки раскрываются по клику).

JSON для импорта

{
 "uid": "pobp-logs-explorer",
 "title": "ProtoOBP — Логи (Explorer)",
 "schemaVersion": 39,
 "version": 1,
 "time": { "from": "now-1h", "to": "now" },
 "panels": [
 {
 "id": 1, "type": "timeseries", "title": "Объём логов по severity",
 "gridPos": { "h": 9, "w": 24, "x": 0, "y": 0 },
 "datasource": { "type": "victoriametrics-logs-datasource", "uid": "pobp-logs" },
 "targets": [ { "refId": "A", "expr": "* | stats by (status) count() logs", "queryType": "statsRange" } ]
 },
 {
 "id": 2, "type": "logs", "title": "Последние ошибки",
 "gridPos": { "h": 12, "w": 24, "x": 0, "y": 9 },
 "datasource": { "type": "victoriametrics-logs-datasource", "uid": "pobp-logs" },
 "options": { "showTime": true, "showLabels": false, "wrapLogMessage": true, "enableLogDetails": true, "sortOrder": "Descending", "dedupStrategy": "none" },
 "targets": [ { "refId": "A", "expr": "status:(error OR critical) | sort by (_time desc) | limit 100", "queryType": "instant" } ]
 }
 ]
}

Трейсы

Поиск рутовых спанов (клик по trace_id открывает трейс), waterfall выбранного трейса и таблица его спанов.

JSON для импорта

{
 "uid": "pobp-traces",
 "title": "ProtoOBP — Трейсы",
 "schemaVersion": 39,
 "version": 1,
 "time": { "from": "now-1h", "to": "now" },
 "templating": {
 "list": [
 { "name": "trace_id", "type": "textbox", "label": "Trace ID (hex)", "query": "", "current": { "text": "", "value": "" } }
 ]
 },
 "panels": [
 {
 "id": 1, "type": "table", "title": "Поиск трейсов (root spans)",
 "gridPos": { "h": 10, "w": 24, "x": 0, "y": 0 },
 "datasource": { "type": "grafana-clickhouse-datasource", "uid": "pobp-clickhouse" },
 "targets": [
 {
 "refId": "A", "editorType": "sql", "queryType": "table", "format": 1, "pluginVersion": "4.18.0",
 "rawSql": "SELECT lower(hex(traceID)) AS trace_id, service, name AS operation, toUnixTimestamp64Milli(start) AS start_ms, round(duration/1e6, 2) AS duration_ms, error FROM proto.spans WHERE $__timeFilter(start) AND is_top_level = 1 ORDER BY start DESC LIMIT 100",
 "builderOptions": { "database": "proto", "table": "spans", "queryType": "table", "mode": "list", "columns": [], "filters": [], "orderBy": [], "limit": 100, "meta": {} },
 "meta": { "builderOptions": { "database": "proto", "table": "spans", "queryType": "table", "mode": "list", "columns": [], "filters": [], "orderBy": [], "limit": 100, "meta": {} } }
 }
 ],
 "fieldConfig": {
 "defaults": {},
 "overrides": [
 { "matcher": { "id": "byName", "options": "trace_id" },
 "properties": [ { "id": "links", "value": [ { "title": "Показать трейс", "url": "/d/pobp-traces?var-trace_id=${__value.raw}" } ] } ] }
 ]
 }
 },
 {
 "id": 2, "type": "traces", "title": "Waterfall трейса: $trace_id",
 "gridPos": { "h": 16, "w": 24, "x": 0, "y": 10 },
 "datasource": { "type": "grafana-clickhouse-datasource", "uid": "pobp-clickhouse" },
 "targets": [
 {
 "refId": "A", "editorType": "sql", "queryType": "traces", "format": 3, "pluginVersion": "4.18.0",
 "rawSql": "SELECT lower(hex(s.traceID)) AS traceID, toString(s.spanID) AS spanID, if(s.parentID = 0, '', toString(s.parentID)) AS parentSpanID, s.service AS serviceName, s.name AS operationName, toUnixTimestamp64Milli(s.start) AS startTime, s.duration/1e6 AS duration, arrayMap(k -> map('key', k, 'value', s.meta[k]), mapKeys(s.meta)) AS tags FROM proto.spans AS s WHERE lower(hex(s.traceID)) = '${trace_id}' ORDER BY s.start ASC",
 "builderOptions": { "database": "proto", "table": "spans", "queryType": "traces", "mode": "trace", "columns": [], "filters": [], "orderBy": [], "limit": 1000, "meta": { "isTraceIdMode": true, "traceId": "${trace_id}", "traceDurationUnit": "milliseconds" } },
 "meta": { "builderOptions": { "database": "proto", "table": "spans", "queryType": "traces", "mode": "trace", "columns": [], "filters": [], "orderBy": [], "limit": 1000, "meta": { "isTraceIdMode": true, "traceId": "${trace_id}", "traceDurationUnit": "milliseconds" } } }
 }
 ]
 },
 {
 "id": 3, "type": "table", "title": "Спаны трейса (таблица): $trace_id",
 "gridPos": { "h": 12, "w": 24, "x": 0, "y": 26 },
 "datasource": { "type": "grafana-clickhouse-datasource", "uid": "pobp-clickhouse" },
 "targets": [
 {
 "refId": "A", "editorType": "sql", "queryType": "table", "format": 1, "pluginVersion": "4.18.0",
 "rawSql": "SELECT toString(s.spanID) AS span_id, if(s.parentID = 0, '', toString(s.parentID)) AS parent_id, s.service AS service, s.name AS operation, round(s.duration/1e6, 2) AS duration_ms, s.error AS error, toUnixTimestamp64Milli(s.start) AS start_ms FROM proto.spans AS s WHERE lower(hex(s.traceID)) = '${trace_id}' ORDER BY s.start ASC",
 "builderOptions": { "database": "proto", "table": "spans", "queryType": "table", "mode": "list", "columns": [], "filters": [], "orderBy": [], "limit": 1000, "meta": {} },
 "meta": { "builderOptions": { "database": "proto", "table": "spans", "queryType": "table", "mode": "list", "columns": [], "filters": [], "orderBy": [], "limit": 1000, "meta": {} } }
 }
 ]
 }
 ]
}

Бизнес-аналитика — Cube.js

Агрегаты OLAP-слоя: вызовы по сервисам (таблица) и top-10 сервисов (barchart).

JSON для импорта

{
 "uid": "pobp-business-cube",
 "title": "ProtoOBP — Бизнес-аналитика (Cube.js)",
 "schemaVersion": 39,
 "version": 1,
 "time": { "from": "now-24h", "to": "now" },
 "panels": [
 {
 "id": 1, "type": "table", "title": "Вызовы по сервисам (Calls.count)",
 "gridPos": { "h": 10, "w": 24, "x": 0, "y": 0 },
 "datasource": { "type": "grafana-cube-datasource", "uid": "pobp-cube" },
 "targets": [
 {
 "refId": "A",
 "measures": ["Calls.count"], "dimensions": ["Calls.service"],
 "timeDimensions": [ { "dimension": "Calls.date", "dateRange": "Last 24 hours" } ],
 "filters": [], "order": [ ["Calls.count", "desc"] ]
 }
 ]
 },
 {
 "id": 2, "type": "barchart", "title": "Top сервисы по вызовам",
 "gridPos": { "h": 10, "w": 24, "x": 0, "y": 10 },
 "datasource": { "type": "grafana-cube-datasource", "uid": "pobp-cube" },
 "targets": [
 {
 "refId": "A",
 "measures": ["Calls.count"], "dimensions": ["Calls.service"],
 "timeDimensions": [ { "dimension": "Calls.date", "dateRange": "Last 24 hours" } ],
 "filters": [], "order": [ ["Calls.count", "desc"] ], "limit": 10
 }
 ]
 }
 ]
}

Диагностика типовых проблем

Панели метрик/трейсов/Cube пустые, в консоли 404 ... module.js, SystemJS Error#7, react/jsx-runtime. Версия Grafana ниже требуемой плагинами. Нужна Grafana 12.2.5+.
Работают только логи, остальное — нет. Тот же признак устаревшей Grafana: плагин VictoriaLogs совместим со старыми версиями, остальные — нет.
Cube-датасорс возвращает 404 при проверке. В URL указан полный путь /cubejs-api/v1; оставьте только базовый адрес http://host:4000.
Панели ClickHouse падают с Cannot read properties of undefined (reading 'meta'). В таргете панели должен присутствовать объект builderOptions (его формирует редактор запросов плагина). Постройте запрос через UI плагина и сохраните панель, либо используйте готовый экспорт дашборда.
Not enough privileges при создании пользователя ClickHouse. SQL нужно выполнять от администратора (default), а не от прикладного пользователя.

Guides: Интеграция с SIEM

Mon, 01 Jan 0001 00:00:00 +0000

Proto Observability Platform умеет отдавать журналы аудита во внешнюю систему мониторинга безопасности (SIEM) по протоколу syslog — для централизованного хранения событий безопасности, корреляции с другими источниками и выполнения требований по аудиту и комплаенсу.

Экспорт по умолчанию выключен и включается двумя переменными — без пересборки образов.

Доступно с версии 201

Экспорт журналов в SIEM появился в ProtoOBP 201. Убедитесь, что образы компонентов (proto-api-manager, proto-auth, proto-otel-collector) — версии 201 или новее.

На этой странице:

Что можно экспортировать
Быстрое включение
Схема подключения
Системные журналы (СУБД и ОС)
Полный пример одним файлом
Расширенная настройка
Диагностика типовых проблем

Что можно экспортировать

Источник	Компонент	Что содержит
Аудит действий (RBAC)	`proto-api-manager`	Действия субъектов над объектами доступа: `allow`/`deny` по проверкам прав на API
События входа	`proto-auth`	Вход/выход и неуспешные попытки входа: `LOGIN`, `LOGOUT`, `LOGIN_ERROR`
Системные журналы	СУБД, ОС	Системные логи в исходном виде

Аудит действий остаётся и в UI

При включённом экспорте аудит действий дублируется в syslog в дополнение к внутреннему журналу — вкладка «Журнал аудита» в интерфейсе продолжает работать (см. Администрирование RBAC → Журнал аудита).

Быстрое включение

Задайте две переменные в .env рядом с compose-файлом платформы — экспорт журналов аудита включится по всему стеку: RBAC-действия (proto-api-manager) и события входа (proto-auth) начнут уходить в вашу SIEM по syslog.

# .env
POBP_SIEM_ENABLED=true
POBP_SIEM_ENDPOINT=siem-collector:514 # syslog-приёмник вашей SIEM, host:port

docker compose -f docker-compose-<версия>.yaml up -d proto-api-manager proto-auth

По умолчанию (POBP_SIEM_ENABLED не задан или false) экспорт выключен. Записи уходят по syslog напрямую на указанный адрес, протокол — tcp. Отдельные адреса/протокол/теги — в разделе Расширенная настройка. Отправку системных журналов СУБД/ОС — в разделе Системные журналы.

Не влияет на работу платформы

Недоступность приёмника не блокирует обработку запросов: аудит продолжает штатно сохраняться во внутреннем журнале, а связь с приёмником восстанавливается автоматически.

Проверка: включите приёмник на указанном адресе и выполните вход и любое действие с проверкой прав — в потоке приёмника появятся записи с тегами proto-auth (события входа) и proto-api-manager (RBAC-действия). Каждая RBAC-запись содержит время, пользователя, действие, тип и ключ объекта доступа, результат (allow/deny) и IP-адрес.

Схема подключения

ProtoOBP ──(syslog TCP/UDP)──▶ SIEM заказчика

Компоненты платформы отправляют записи по syslog напрямую на адрес из POBP_SIEM_ENDPOINT. Как правило, отдельный шиппер не нужен. Если он всё же требуется (преобразование формата, TLS, сбор системных логов из файлов) — используйте входящий в состав системы proto-otel-collector (см. Системные журналы).

Системные журналы (СУБД и ОС)

Системные журналы СУБД (ClickHouse, PostgreSQL) и ОС уже пишутся в стандартный вывод контейнеров и сохраняются драйвером json-file (по умолчанию, с ротацией). Эти локальные файлы всегда остаются для отладки — драйвер логирования менять не нужно, docker logs продолжает работать.

Чтобы дополнительно отправлять их в SIEM, не трогая локальные файлы, используйте сборщик, который читает docker-логи и форвардит копию. Отдельный Vector/Fluent Bit не обязателен: в состав системы входит proto-otel-collector (на базе OpenTelemetry Collector) с приёмниками file_log и syslog. В его образе уже есть готовый оверлей /etc/otel-collector-siem.yaml с logs-конвейером, по умолчанию не активный (адрес приёмника — из переменных окружения):

# /etc/otel-collector-siem.yaml (уже в образе, для справки)
receivers:
 file_log/containers: # docker-логи контейнеров; файлы json-file сохраняются
 include: [ /var/lib/docker/containers/*/*-json.log ]
exporters:
 syslog/siem: # экспортер под протокол приёма вашей SIEM
 endpoint: ${env:POBP_SIEM_HOST}
 port: ${env:POBP_SIEM_PORT}
 network: tcp
 protocol: rfc5424
service:
 pipelines:
 logs/siem:
 receivers: [file_log/containers]
 processors: [memory_limiter, batch]
 exporters: [syslog/siem]

Включение (у сервиса proto-otel-collector в основном compose-файле): подключить оверлей вторым --config, задать адрес и смонтировать каталог docker-логов только на чтение. Экспортёр otel требует хост и порт раздельно — задайте POBP_SIEM_HOST и POBP_SIEM_PORT:

services:
 proto-otel-collector:
 command:
 - "--config=/etc/otel-collector-config.yaml"
 - "--config=/etc/otel-collector-siem.yaml"
 user: "0:0" # читает docker-логи как их владелец (root)
 cap_drop: ["ALL"] # uid 0 без capabilities — только чтение
 security_opt: ["no-new-privileges:true"]
 environment:
 POBP_SIEM_HOST: "siem-collector"
 POBP_SIEM_PORT: "514"
 volumes:
 - /var/lib/docker/containers:/var/lib/docker/containers:ro

Эти строки уже присутствуют закомментированными у сервиса proto-otel-collector — их достаточно раскомментировать. Без второго --config оверлей не загружается. file_log читает логи всех контейнеров — при необходимости сузьте include/exclude (например, исключите лог самого коллектора).

Про права. Docker пишет логи в /var/lib/docker/containers от имени root (каталоги 0710, файлы 0640). Членство в группе docker не помогает — оно даёт доступ к docker-сокету, а не к этим файлам; группы root тоже недостаточно (у каталогов 0710 группе доступен только вход, но не листинг, а file_log перечисляет файлы по маске). Поэтому коллектор читает их как владелец под user: "0:0", а cap_drop: ["ALL"] оставляет только чтение — прав root при этом не остаётся (проверено).

Если запуск под uid 0 недопустим — не читайте /var/lib/docker, а измените способ сбора: направьте логи нужных сервисов docker-драйвером syslog (демон сам отправляет записи — без файлового доступа и без root, но это заменяет json-file, локальные файлы не сохранятся); либо настройте СУБД писать логи в отдельный том, доступный коллектору под его обычным uid, и укажите этот том в file_log.

Полный пример одним файлом

Если удобнее один override-файл вместо правки .env — сохраните рядом с основным compose-файлом платформы docker-compose.siem.yaml и примените его:

docker compose -f docker-compose-<версия>.yaml -f docker-compose.siem.yaml up -d

# docker-compose.siem.yaml — включение экспорта журналов в SIEM
services:
 # Аудит действий (RBAC)
 proto-api-manager:
 environment:
 POBP_SIEM_ENABLED: "true"
 POBP_SIEM_ENDPOINT: "siem-collector:514" # syslog-приёмник SIEM, host:port

 # События входа
 proto-auth:
 environment:
 POBP_SIEM_ENABLED: "true"
 POBP_SIEM_ENDPOINT: "siem-collector:514"

 # Системные журналы СУБД/ОС — ОПЦИОНАЛЬНО (удалите блок, если не нужно).
 # Требует чтения docker-логов: user "0:0" + том (см. «Системные журналы»).
 proto-otel-collector:
 command:
 - "--config=/etc/otel-collector-config.yaml"
 - "--config=/etc/otel-collector-siem.yaml"
 user: "0:0"
 cap_drop: ["ALL"]
 security_opt: ["no-new-privileges:true"]
 environment:
 POBP_SIEM_HOST: "siem-collector"
 POBP_SIEM_PORT: "514"
 volumes:
 - /var/lib/docker/containers:/var/lib/docker/containers:ro

Первые два блока эквивалентны двум переменным из Быстрого включения — выбирайте, что удобнее. Третий блок (системные журналы) можно опустить; о правах доступа для него — в разделе Системные журналы.

Расширенная настройка

Двух переменных из Быстрого включения достаточно для большинства случаев. Для тонкой настройки у каждого источника есть отдельные переменные — они переопределяют общие.

proto-api-manager (RBAC-аудит)

Переменная	Назначение	Default
`POBP_RBAC_AUDIT_SYSLOG_ENABLED`	Включить экспорт (достаточно любого из флагов)	`false`
`POBP_RBAC_AUDIT_SYSLOG_ENDPOINT`	Адрес `host:port` (переопределяет `POBP_SIEM_ENDPOINT`)	из `POBP_SIEM_ENDPOINT`
`POBP_RBAC_AUDIT_SYSLOG_PROTOCOL`	Протокол: `tcp` или `udp`	`tcp`
`POBP_RBAC_AUDIT_SYSLOG_APP_NAME`	Имя приложения (тег) в syslog-записи	`proto-api-manager`

В Helm-чарте задаются через apiManager.env.

proto-auth (события входа)

Управляется теми же двумя переменными POBP_SIEM_ENABLED / POBP_SIEM_ENDPOINT. Отдельной настройки не требуется: события отправляются по tcp с тегом proto-auth.

Диагностика типовых проблем

Симптом	Причина и решение
В приёмнике нет записей аудита	Проверьте `POBP_SIEM_ENABLED=true` и `POBP_SIEM_ENDPOINT`; убедитесь, что приёмник доступен по адресу и протоколу. Для RBAC — что RBAC включён (`POBP_RBAC_ENABLED=true`).
Нет только событий входа	В логе `proto-auth` при старте должно быть `SIEM syslog export enabled`. Проверьте, что переменные заданы и переданы сервису `proto-auth`.
Нет только RBAC-действий	`proto-api-manager` читает переменные из `./.env` (env_file). Проверьте, что они там заданы.
Нет системных журналов СУБД	Проверьте `file_log`-приёмник и logs-конвейер `proto-otel-collector`: смонтирован ли `/var/lib/docker/containers`, задан ли `user: "0:0"`, `POBP_SIEM_HOST`/`POBP_SIEM_PORT`.
Записи не доходят до SIEM	Проверьте адрес/порт/протокол приёмника SIEM и сетевую доступность.