| 归属 | /proc/1/cgroup 中的容器标识 |
|---|---|
| 日志 | /var/lib/docker/containers/<ID>/<ID>-json.log |
确认与阅读
确认与阅读
cat /proc/1/cgroup | head
docker ps --no-trunc | head
ls /var/lib/docker/containers/ 2>/dev/null | head容器内时间常为 UTC，与宿主机本地时间对比时先做时区换算。
容器环境取证要点
容器内看到的是命名空间视图，完整证据通常要从宿主机采集：cgroup 记录容器归属，日志文件位于网关目录下。
易错点
- 容器被删除后日志可能一并清理，需尽早从宿主机导出
- kubectl logs 与节点文件可能不一致，以节点文件为准更可靠
数据来源与参考
- Docker 官方文档（容器日志与存储驱动）