系统日志过滤

日志过滤

通常情况下，我们并不是所有的日志都要收集，比如我们只需要error以下级别的日志、或者我们需要包含特定内容的日志，因此可以对日志进行过滤和筛选

（1）过滤日志：

编辑配置文件/etc/rsyslog.conf

ruoshui@ruoshui-VMware7-1:~/桌面$ vim /etc/rsyslog.conf 

增加如下一行：（此时以不记录更新日志为例，选用kylin-update-manager）

:msg,contains,"kylin-update-manager"

查看下kylin-update-manager记录内容，以便重启rsyslog服务做对比

ruoshui@ruoshui-VMware7-1:/var/log/kylin-update-manager$ cat kylin-update-manager.log.1

重启rsyslog服务，即可把内容包含kylin-updatemessage的条目清理掉不保存在日志中。

ruoshui@ruoshui-VMware7-1:~/桌面$ sudo systemctl  restart rsyslog

进行更新操作

ruoshui@ruoshui-VMware7-1:/var/log/kylin-update-manager$ sudo apt-get update

查看当前时间

ruoshui@ruoshui-VMware7-1:/var/log/kylin-update-manager$ date

ruoshui@ruoshui-VMware7-1:/var/log/kylin-update-manager$ cat kylin-update-manager.log.1

ruoshui@ruoshui-VMware7-1:/var/log/kylin-update-manager$ date

对比如上两图。可以看到：我在11:06进行了update；因为我做了日志过滤（不记录update日志），因此更新完成后，kylin-update-manager.log.1并没有记录更新操作

（2）筛选保存：

编辑配置文件/etc/rsyslog.conf

ruoshui@ruoshui-VMware7-1:~/桌面$ vim /etc/rsyslog.conf 

增加如下一行：

:msg, contains, "test_message" /var/log/test.log（test_message改为你想要保存的日志）

重启rsyslog服务，即可把内容包含test_message的条目筛选出来保存到/var/log/test.log中