系统日志架构
日志架构
操作系统内核和程序记录了发生的时间日志,这些日志用于审核系统并解决问题。
日志以文本方式保存在/var/log目录中!
可以使用普通文本实用程序(如less和tail)检查这些日志。
而RHEL内置了基于Syslog协议的标准日志记录系统。在RHEL8中systemd-journald和rsyslog服务负责处理syslog消息。
systemd-journald服务是操作系统事件记录体系结构的核心,收集系统各方面事件消息,包括内核、引导过程早期阶段的输出、守护程序启动和运行时输出、syslog事件,然后将它们重组为标准格式,并吸入结构化的索引系统日志中。(不能进行自定义)
rsyslog服务读取systemd-journald日志,然后记录到日志文件,或根据自己的配置将它们转发到其他服务。(可根据自定义进行记录)
/message :大多数系统日志消息记录在次数!
/secure :与安全性和身份验证事件相关的syslog消息
/maillog :与邮件服务器相关的syslog消息
/cron :与调度作业执行相关的syslog消息。(定时器)
/boot.log:与系统启动相关的非syslog控制台的消息。
查看rsyslog日志
日志格式
每一条日志消息都可以通过消息类型facility和priority分类,参考rsyslog.conf(5)。
格式:消息类型facility.(连接符号)priority 日志处理方式(action)
消息类型facility:
auth pam产生的日志
authpriv ssh/ftp等登录信息的验证信息
cron 时间任务相关
kern 内核
lpr 打印
mail 邮件
mark(syslog)-rsyslog 服务内部的信息,时间标识
news 新闻组
user 用户程序产生的相关信息
local 0~7 自定义的日志设备,本地使用