【CKS】考试之 sysdig

15. 【CKS】 考试之 sysdig

15.1 题目要求

15.2 sysdig常用命令

  1. 查看可用的chisel（凿子）：sysdig -cl | less

  2. 查看cpu信息：sysdig -c topprocs_cpu

  3. 查看网络信息：sysdig -c topprocs_net

  4. 获取主机的数据流并保存到文件： sysdig -s 4096 -z -w /tmp/sysdig/xyz.scap.gz

  +  -s ：指定获取的字节数

  +  -z：压缩保存

  + -w：输出到指定文件

  5. 指定输出格式：sysdig -p

     + %evt.num： 事件序列号
     + %evt.time：事件发生的时间
     + %evt.cpu：事件所在的CPU序号
     + %proc.name：进程名称
     + %user.name：用户名称
     + %user.uid：用户ID

     例如：

     sysdig -M 30 -p "%evt.time,%user.name,%proc.name" container.name=tomcat

  6. 选项：

     + -c 运行指定的chisel，如果chisel需要参数，则必须用--chisel=chiselname chiselargs形式
     + -cl 列出可用的chisel，从./chisels, ~/.chisels,/usr/share/sysdig/chisels搜索
     + -M 在指定秒数之后停止收集
     + -n 在获取指定数量的事件之后停止收集
     + -S 在捕获结束，例如列出top事件之后，打印汇总摘要
     + -s 捕获IO缓冲的前N字节，默认80

​

15.3 操作步骤

  切换 Context 后， ssh 到对应的工作节点  

15.3.1 查看容器的名字或ID

  ```shell
  #方法一（工作节点执行）
  docker  ps | grep tomcat
  
  #方法二 （工作节点执行）
  crictl ps | grep tomcat
  
  # 方法三 （退出工作节点执行）
  kubectl get po tomcat|grep	 container
  ```

​

15.3.2 使用sysdig 进行检测

  ```shell
  sysdig -M 30 -p "%evt.time,%user.name,%proc.name"
  container.name=redis > /opt/KSRS00101/events/details
  ```