RHEL 中級 #5 ログ管理 — journald、rsyslog、log rotation

   カーネル / サービス / ユーザープロセス
                │
                │  syslog() / journald API
                ▼
   ┌─────────────────────────┐
   │      journald           │   ← メイン (構造化バイナリ)
   │   /run/log/journal/     │   /var/log/journal/ (永続)
   └────────────┬────────────┘
                │ 転送 (オプション)
                ▼
   ┌─────────────────────────┐
   │      rsyslog            │   ← 古いテキストログ互換 + リモート送信
   │   /var/log/messages     │
   │   /var/log/secure       │
   │   /var/log/maillog      │
   └────────────┬────────────┘
                │ logrotate (cron)
                ▼
       回転された圧縮ログファイル
       /var/log/messages-20260420.gz

$ sudo mkdir -p /var/log/journal
$ sudo systemd-tmpfiles --create --prefix /var/log/journal
$ sudo systemctl restart systemd-journald

# 確認
$ journalctl --list-boots
-2 ...   2026-04-18 09:01:23   2026-04-19 08:55:11
-1 ...   2026-04-19 09:00:01   2026-04-20 08:55:32
 0 ...   2026-04-20 09:00:01   2026-04-20 14:23:01

[Journal]
Storage=persistent

# ディスク使用量上限
SystemMaxUse=2G
SystemKeepFree=500M
SystemMaxFileSize=128M
SystemMaxFiles=100

# 保管期間
MaxRetentionSec=30day

# 圧縮 / 封印
Compress=yes
Seal=yes

$ sudo systemctl restart systemd-journald
$ journalctl --disk-usage
Archived and active journals take up 1.2G in the file system.

$ sudo journalctl --vacuum-size=500M     # 500M 以下に減らす
$ sudo journalctl --vacuum-time=7d       # 7 日以上経ったものを削除
$ sudo journalctl --vacuum-files=10      # ファイル 10 個に減らす

$ journalctl _COMM=sshd                       # sshd コマンドのログ
$ journalctl _SYSTEMD_UNIT=nginx.service     # 特定 unit
$ journalctl _UID=1000                        # 特定ユーザー
$ journalctl _PID=1234                        # 特定 PID

# すべてのメタデータを見る
$ journalctl -o verbose -n 5

# nginx のエラーのみ、今日
$ journalctl -u nginx -p err --since today

# 特定ユーザーが叩いた sudo コマンド
$ journalctl _COMM=sudo _UID=1000

# 特定 IP から来た ssh 試行 (メッセージ本文検索)
$ journalctl -u sshd | grep "192.168.64.50"

$ journalctl -o json -n 10           # 1 行 JSON
$ journalctl -o json-pretty -n 5     # 見やすい JSON
$ journalctl -o cat -n 100           # メッセージ本文のみ
$ journalctl -o short-iso -n 100     # ISO 8601 時刻

$ journalctl -o json -u nginx --since today | \
    jq 'select(.PRIORITY == "3") | .MESSAGE'    # err メッセージのみ抽出

$ systemctl status rsyslog
● rsyslog.service - System Logging Service
     Active: active (running)
     ...

# デフォルトモジュール
module(load="imuxsock")        # local システムログを受ける
module(load="imjournal")       # journald から受ける

# ルール (facility.priority + アクション)
*.info;mail.none;authpriv.none;cron.none    /var/log/messages
authpriv.*                                   /var/log/secure
mail.*                                       -/var/log/maillog
cron.*                                       /var/log/cron
*.emerg                                      :omusrmsg:*

# 私たちのアプリが使う facility local6 だけ別ファイルに
local6.*    /var/log/myapp.log

$ sudo systemctl restart rsyslog

# UDP 514 で受信
module(load="imudp")
input(type="imudp" port="514")

# TCP も一緒に (安定性)
module(load="imtcp")
input(type="imtcp" port="514")

# ホスト別ディレクトリに分ける
$template RemoteHost,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?RemoteHost
& stop

$ sudo firewall-cmd --permanent --add-port=514/udp
$ sudo firewall-cmd --permanent --add-port=514/tcp
$ sudo firewall-cmd --reload
$ sudo systemctl restart rsyslog

# すべてのログを 192.168.64.10 に転送
*.*    @192.168.64.10:514       # @ は UDP
# *.* @@192.168.64.10:514       # @@ は TCP (より安全)

$ sudo systemctl restart rsyslog

$ systemctl list-timers | grep logrotate
NEXT  LEFT  LAST  PASSED  UNIT                  ACTIVATES
...   ...   ...   ...     logrotate.timer       logrotate.service

$ systemctl cat logrotate.timer
[Timer]
OnCalendar=daily
AccuracySec=1h
Persistent=true

weekly
rotate 4
create
dateext
include /etc/logrotate.d

# 例: /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily
    missingok
    rotate 14
    compress
    delaycompress
    notifempty
    create 640 nginx adm
    sharedscripts
    postrotate
        if [ -f /run/nginx.pid ]; then
            kill -USR1 $(cat /run/nginx.pid)
        fi
    endscript
}

/var/log/myapp/*.log {
    daily
    rotate 30
    compress
    delaycompress
    missingok
    notifempty
    create 640 myapp myapp
    sharedscripts
    postrotate
        systemctl reload myapp.service > /dev/null 2>&1 || true
    endscript
}

$ sudo logrotate -d /etc/logrotate.d/myapp     # debug — どう回転されるかだけ出力
$ sudo logrotate -v /etc/logrotate.d/myapp     # verbose — 実際の実行 + 詳細出力
$ sudo logrotate -f /etc/logrotate.d/myapp     # force — 回転条件を無視して強制

$ sudo journalctl --setup-keys
$ sudo journalctl --verify