journal日志管理

1、systemd-journald详解

systemd-journald日志默认保存在/run/log/journal中，重启会被清楚，如果存在/var/log/journal目录，systemd-journald日志会自动改为记入在这个目录中，同时日志轮转也会启动，日志轮状每月启动，默认情况下，日志大小不能超过文件系统的10%，也不能造成文件系统的可用空间低于15%，配置文件 /etc/systemd/journald.conf。

1.1修改journald服务配置

[root@frs-server ~]# cat /etc/systemd/journald.conf | grep -v ^#

[Journal]

Storage=persistent

RateLimitInterval=30s

RateLimitBurst=100

MaxFileSec=10day

[root@frs-server ~]#systemctl restart systemd-journald.service重启服务。

1.2 journald服务配置说明

2、系统日志文件概述

日志文件	用途
/var/log/messages	大多数系统日志消息记录存放此处。如：与身份验证、电子邮件处理相关的定期运行作业的消息以及纯粹与调试相关的消息。
/var/log/secure	安全和身份验证相关的消息和错误的日志文件。
/var/log/maillog	与邮件服务器相关的消息的日志文件。
/var/log/cron	与定期执行任务相关的日志文件。
/var/log/boot.log	与系统启动相关的消息记录在此处。

1. systemd日志保存位置修改

3.1 创建保存目录

mkdir /var/log/journal

chown root:systemd-journal /var/log/journal

chmod 2755 /var/log/journal

3.2 使用新目录生效

reboot系统 或 killall -USR1 systemd-journald

4、journalctl参数选项说明

5、查看完整的系统日志

5.1 输入过滤日志

journalctl -p err  ----输出过滤为仅列出优先级为err或以上的日志条目。

Debug(调试)、info(信息)、notice(通知)、warning(警告) 、err(错误)、crit(致命)、alert(提示信号)、emerg(紧急事件)。

5.2 查看今天昨天的日志

journalctl --since today -----查看"yesterday"、"today"、"tomorrow" 或者 "now"所有日志

5.3查看一个时间段的日志

journalctl --since 9:00:00 --until 9:15:00

5.4查询 2020-03-12 19:00:00之后的日志

journalctl --since "2020-03-12 19:00:00"

5.5查询指定时段日志

journalctl --since "2020-03-13 13:00" --until "2020-03-13 14:00" 

5.6 显示最后5条日志条目

journalctl -n 5

5.7 查看重启日志

journalctl --list-boots

5.8 详细模式

journalctl -o verbose

4.9 持续查看日志输出

tailf /var/log/message

5.11仅显示系统上一启动以来的日志消息

journalctl -b

5.12 只保留近一周的日志

journalctl --vacuum-time=1w

5.13 只保留500的日志

journalctl --vacuum-size=500M

5.14 查看管理用户登录的系统服务相关日志

journalctl -u systemd-logind.service -r

5.15实时滚动显示最新日志

sudo journalctl -f

5.16查看指定服务的日志

$ sudo journalctl /usr/lib/systemd/systemd