Comment utiliser Journalctl pour afficher et manipuler des journaux Systemd

Le plus basique de ceux que vous pourriez utiliser quotidiennement est l'indicateur-b. Cela vous montrera toutes les entrées de journal qui ont été collectées depuis le dernier redémarrage.

Cela vous aidera à identifier et à gérer les informations pertinentes pour votre environnement actuel.

Dans les cas où vous n'utilisez pas cette fonctionnalité et affichez plus d'un jour de démarrage, vous verrez quejournalctl a inséré une ligne qui ressemble à ceci chaque fois que le système tombe en panne:

Ceci peut être utilisé pour vous aider à séparer logiquement les informations en sessions de démarrage.

Bien que vous souhaitiez généralement afficher les informations du démarrage actuel, il est certain que des démarrages passés seraient également utiles. Le journal peut enregistrer les informations de nombreux démarrages précédents, de sorte quejournalctl peut être amené à afficher facilement les informations.

Certaines distributions permettent de sauvegarder les informations de démarrage précédentes par défaut, tandis que d'autres désactivent cette fonctionnalité. Pour activer les informations de démarrage persistant, vous pouvez créer le répertoire dans lequel stocker le journal en tapant:

Ou vous pouvez éditer le fichier de configuration du journal:

Dans la section[Journal], définissez l'optionStorage= sur «persistent» pour activer la journalisation persistante:

/etc/systemd/journald.conf

Lorsque l'enregistrement des démarrages précédents est activé sur votre serveur,journalctl fournit des commandes pour vous aider à travailler avec les démarrages en tant qu'unité de division. Pour voir les démarrages quejournald connaît, utilisez l'option--list-boots avecjournalctl:

Cela affichera une ligne pour chaque démarrage. La première colonne est le décalage du démarrage qui peut être utilisé pour référencer facilement le démarrage avecjournalctl. Si vous avez besoin d'une référence absolue, l'ID de démarrage se trouve dans la deuxième colonne. Vous pouvez indiquer l'heure à laquelle la session de démarrage se réfère avec les deux spécifications de temps répertoriées vers la fin.

Pour afficher les informations de ces démarrages, vous pouvez utiliser les informations de la première ou de la deuxième colonne.

Par exemple, pour voir le journal du démarrage précédent, utilisez le pointeur relatif-1 avec l'indicateur-b:

Vous pouvez également utiliser l'ID de démarrage pour rappeler les données à partir d'un démarrage:

Bien qu'il soit extrêmement utile de consulter les entrées de journal au démarrage, vous souhaiterez souvent demander des fenêtres dont la durée ne correspond pas bien au démarrage du système. Cela peut être particulièrement vrai lorsque vous traitez avec des serveurs de longue durée avec une disponibilité importante.

Vous pouvez filtrer par limites de temps arbitraires en utilisant les options--since et--until, qui restreignent les entrées affichées à celles qui sont après ou avant l'heure donnée, respectivement.

Les valeurs de temps peuvent entrer dans une variété de formats. Pour les valeurs de temps absolues, vous devez utiliser le format suivant:

Par exemple, nous pouvons voir toutes les entrées depuis le 10 janvier 2015 à 17h15 en tapant:

Si les composants du format ci-dessus sont laissés, certaines valeurs par défaut seront appliquées. Par exemple, si la date est omise, la date actuelle sera utilisée. Si la composante heure est manquante, «00:00:00» (minuit) sera remplacé. Le champ des secondes peut également être laissé à «00» par défaut:

Le journal comprend également des valeurs relatives et des raccourcis nommés. Par exemple, vous pouvez utiliser les mots «hier», «aujourd'hui», «demain» ou «maintenant». Vous faites des temps relatifs en ajoutant «-» ou «+» à une valeur numérotée ou en utilisant des mots tels que «il y a» dans une construction de phrase.

Pour obtenir les données d'hier, vous pouvez taper:

Si vous avez reçu des rapports signalant une interruption de service débutant à 9h00 et se poursuivant il y a une heure, vous pouvez taper:

Comme vous pouvez le constater, il est relativement facile de définir des fenêtres de temps flexibles pour filtrer les entrées que vous souhaitez voir.

La méthode de filtrage la plus utile est peut-être celle qui vous intéresse. Nous pouvons utiliser l'option-u pour filtrer de cette manière.

Par exemple, pour voir tous les journaux d'une unité Nginx sur notre système, nous pouvons taper:

En règle générale, vous souhaiterez probablement également filtrer par heure afin d'afficher les lignes qui vous intéressent. Par exemple, pour vérifier le fonctionnement actuel du service, vous pouvez taper:

Ce type d’attention devient extrêmement utile lorsque vous tirez parti de la capacité du journal à entrelacer des enregistrements de différentes unités. Par exemple, si votre processus Nginx est connecté à une unité PHP-FPM pour traiter du contenu dynamique, vous pouvez fusionner les entrées des deux en ordre chronologique en spécifiant les deux unités:

Cela facilite beaucoup la tâche de repérer les interactions entre différents programmes et systèmes de débogage au lieu de processus individuels.

Certains services génèrent une variété de processus enfants pour faire le travail. Si vous avez recherché le PID exact du processus qui vous intéresse, vous pouvez également filtrer par celui-ci.

Pour ce faire, nous pouvons filtrer en spécifiant le champ_PID. Par exemple, si le PID qui nous intéresse est 8088, nous pourrions taper:

À d'autres moments, vous pouvez souhaiter afficher toutes les entrées enregistrées d'un utilisateur ou d'un groupe spécifique. Cela peut être fait avec les filtres_UID ou_GID. Par exemple, si votre serveur Web s'exécute sous l'utilisateurwww-data, vous pouvez trouver l'ID utilisateur en tapant:

Ensuite, vous pouvez utiliser l'ID qui a été renvoyé pour filtrer les résultats du journal:

Le journalsystemd contient de nombreux champs qui peuvent être utilisés pour le filtrage. Certains d'entre eux sont transmis à partir du processus en cours de journalisation et certains sont appliqués parjournald en utilisant les informations qu'il recueille du système au moment de l'enregistrement.

Le trait de soulignement au début indique que le champ_PID est de ce dernier type. Le journal enregistre et indexe automatiquement le PID du processus qui se connecte pour un filtrage ultérieur. Vous pouvez trouver tous les champs de journal disponibles en tapant:

Nous en discuterons certains dans ce guide. Pour l'instant cependant, nous allons examiner une option plus utile concernant le filtrage par ces champs. L'option-F peut être utilisée pour afficher toutes les valeurs disponibles pour un champ de journal donné.

Par exemple, pour voir pour quels ID de groupe le journalsystemd contient des entrées, vous pouvez taper:

Cela vous montrera toutes les valeurs que le journal a stockées pour le champ ID de groupe. Cela peut vous aider à construire vos filtres.

Nous pouvons également filtrer en fournissant un emplacement de chemin.

Si le chemin mène à un exécutable,journalctl affichera toutes les entrées qui impliquent l'exécutable en question. Par exemple, pour trouver les entrées qui impliquent l'exécutablebash, vous pouvez taper:

Généralement, si une unité est disponible pour l'exécutable, cette méthode est plus propre et fournit de meilleures informations (entrées des processus enfants associés, etc.). Parfois, cependant, ce n'est pas possible.

Les messages du noyau, ceux généralement trouvés dans la sortie dedmesg, peuvent également être récupérés dans le journal.

Pour n'afficher que ces messages, nous pouvons ajouter les indicateurs-k ou--dmesg à notre commande:

Par défaut, cela affichera les messages du noyau à partir du démarrage actuel. Vous pouvez spécifier un autre démarrage en utilisant les indicateurs de sélection de démarrage normaux décrits précédemment. Par exemple, pour obtenir les messages d'il y a cinq ans, vous pouvez taper:

Un filtre qui intéresse souvent les administrateurs système est la priorité du message. Bien qu'il soit souvent utile de consigner des informations à un niveau très détaillé, les journaux à faible priorité peuvent être source de confusion et de confusion lors de la digestion des informations disponibles.

Vous pouvez utiliserjournalctl pour afficher uniquement les messages d'une priorité spécifiée ou supérieure à l'aide de l'option-p. Cela vous permet de filtrer les messages de priorité inférieure.

Par exemple, pour afficher uniquement les entrées enregistrées au niveau d'erreur ou plus, vous pouvez taper:

Cela vous montrera tous les messages marqués comme erreur, critique, alerte ou urgence. Le journal implémente les niveaux de message standardsyslog. Vous pouvez utiliser le nom de priorité ou la valeur numérique correspondante. Par ordre de priorité, la priorité la plus élevée est la suivante:

Les numéros ou noms ci-dessus peuvent être utilisés de manière interchangeable avec l'option-p. La sélection d'une priorité affichera les messages marqués au niveau spécifié et ceux au-dessus.

Nous pouvons ajuster la façon dontjournalctl affiche les données en lui disant de réduire ou d'étendre la sortie.

Par défaut,journalctl affichera l'entrée entière dans le téléavertisseur, permettant aux entrées de suivre à droite de l'écran. Cette information peut être consultée en appuyant sur la flèche droite.

Si vous préférez avoir la sortie tronquée, en insérant des points de suspension là où les informations ont été supprimées, vous pouvez utiliser l'option--no-full:

Vous pouvez également aller dans la direction opposée avec cela et dire àjournalctl d'afficher toutes ses informations, qu'elles contiennent ou non des caractères non imprimables. Nous pouvons le faire avec le drapeau-a:

Par défaut,journalctl affiche la sortie dans un téléavertisseur pour une consommation plus facile. Si vous prévoyez de traiter les données avec des outils de manipulation de texte, vous souhaiterez probablement pouvoir exporter en sortie standard.

Vous pouvez le faire avec l'option--no-pager:

Cela peut être transféré immédiatement dans un utilitaire de traitement ou redirigé vers un fichier sur disque, selon vos besoins.

Comme indiqué ci-dessus, si vous traitez des écritures au journal, vous aurez plus de facilité à analyser les données si elles sont dans un format plus utilisable. Heureusement, le journal peut être affiché dans une variété de formats si nécessaire. Vous pouvez le faire en utilisant l'option-o avec un spécificateur de format.

Par exemple, vous pouvez générer les entrées de journal au format JSON en tapant:

Ceci est utile pour analyser avec des utilitaires. Vous pouvez utiliser le formatjson-pretty pour mieux gérer la structure de données avant de la transmettre au consommateur JSON:

Les formats suivants peuvent être utilisés pour l'affichage:

Ces options vous permettent d’afficher les écritures au format qui convient le mieux à vos besoins actuels.

Pour afficher un nombre défini d'enregistrements, vous pouvez utiliser l'option-n, qui fonctionne exactement commetail -n.

Par défaut, il affichera les 10 entrées les plus récentes:

Vous pouvez spécifier le nombre d’entrées que vous souhaitez voir avec un nombre après les-n:

Pour suivre activement les journaux au fur et à mesure de leur écriture, vous pouvez utiliser l'indicateur-f. Encore une fois, cela fonctionne comme vous pouvez vous y attendre si vous avez de l'expérience avectail -f:

Vous pouvez trouver la quantité d'espace que le journal occupe actuellement sur le disque en utilisant l'indicateur--disk-usage:

Si vous souhaitez réduire votre journal, vous pouvez le faire de deux manières différentes (disponible avecsystemd version 218 et ultérieure).

Si vous utilisez l'option--vacuum-size, vous pouvez réduire votre journal en indiquant une taille. Cela supprimera les anciennes entrées jusqu'à ce que l'espace de journal total utilisé sur le disque atteigne la taille demandée:

Une autre façon de réduire le journal est de fournir une heure limite avec l'option--vacuum-time. Toutes les entrées après cette heure sont supprimées. Cela vous permet de conserver les entrées créées après une heure spécifique.

Par exemple, pour conserver les entrées de la dernière année, vous pouvez taper:

Vous pouvez configurer votre serveur pour limiter l'espace occupé par le journal. Cela peut être fait en éditant le fichier/etc/systemd/journald.conf.

Les éléments suivants peuvent être utilisés pour limiter la croissance du journal:

En définissant ces valeurs, vous pouvez contrôler la façon dontjournald consomme et préserve l'espace sur votre serveur. Gardez à l'esprit queSystemMaxFileSize etRuntimeMaxFileSize cibleront les fichiers archivés pour atteindre les limites indiquées. Ceci est important à retenir lors de l'interprétation du nombre de fichiers après une opération d'aspiration.