Linux 日志管理

rsyslog 系统日志管理
一、处理日志的进程
第一类：
rsyslogd： 系统专职日志程序。
处理绝大部分日志记录，
系统操作有关的信息，如登录信息，程序启动关闭信息，错误信息
第二类：
httpd/nginx/mysql: 各类应用程序，可以以自己的方式记录日志.（了解）
讲解对应程序时会逐步介绍
二、常见的日志文件(系统、进程、应用程序)
# tail -10 /var/log/messages
//系统主日志文件
# tail -f /var/log/messages
//动态查看日志文件的尾部
# tailf /var/log/secure
//认证、安全
# tail /var/log/yum.log
//yum
# tail /var/log/maillog
//跟邮件postfix相关
# tail /var/log/cron
//crond、at进程产生的日志
# tail /var/log/dmesg
//和系统启动相关

三、rsyslogd配置
1.相关程序
yum install rsyslog logrotate
默认已安装
2.启动程序
systemctl start rsyslog.service
3.相关文件
rpm -qc rsyslog
/etc/rsyslog.conf
rsyslogd的主配置文件（关键）
/etc/sysconfig/rsyslog
rsyslogd相关文件，定义级别（了解一下）
/etc/logrotate.d/syslog
和日志办轮转（切割）相关（任务二）
四、主配置文件
告诉rsyslogd进程什么日志，应该存到哪里。
# vim /etc/rsyslog.conf
RULES
RULES：即规则，是一套生成日志，以及存储日志的策略。
规则由设备+级别+存放位置组成。
RULES由FACILITY+LEVEL+FILE组成。

	FACILITY&LEVEL
facility设备
		facility是系统对某种类型事件的定义。如AUTHPRIV是安全事件，CRON是计划任务事件。

level级别
目的：通过绘图形式来理解日志工作机制。

logrotate日志轮转
简介
日志 记录了程序运行时各种信息。
通过日志可以分析用户行为，记录运行轨迹，查找程序问题。
可惜磁盘的空间是有限的
日志轮转就像飞机里的黑匣子，记录的信息再重要也只能记录最后一段时间发生的事。
为了节省空间和整理方便，日志文件经常需要按！时间或！大小等维度分成多份，删除时间久远的日志文件。

工作原理
按照配置进行轮转
配置文件种类
主文件：/etc/logrotate.conf (决定每个日志文件如何轮转)
子文件夹：/etc/logrotate.d/*

主配置文件介绍
[root@localhost ~]# vim /etc/logrotate.conf
=全局设置==
weekly //轮转的周期，一周轮转
rotate 4 //保留4份
create //轮转后创建新文件
dateext //使用日期作为后缀
#compress //是否压缩
include /etc/logrotate.d //包含该目录下的子配置文件

/var/log/wtmp { //对某日志文件设置轮转的方法
monthly //一月轮转一次
minsize 1M //最小达到1M才轮转,monthly and minsize
create 0664 root utmp //轮转后创建新文件，并设置权限
rotate 1 //保留一份
}

/var/log/btmp {
missingok //丢失不提示
monthly //每月轮转一次
create 0600 root utmp //轮转后创建新文件，并设置权限
rotate 1 //保留一份
}