Как использовать Journalctl для просмотра и управления журналами Systemd

Самый простой из них, который вы можете использовать ежедневно, - это флаг-b. Это покажет вам все записи журнала, которые были собраны с момента последней перезагрузки.

Это поможет вам идентифицировать и управлять информацией, которая имеет отношение к вашей текущей среде.

В случаях, когда вы не используете эту функцию и отображаете загрузку более одного дня, вы увидите, чтоjournalctl вставил строку, которая выглядит следующим образом всякий раз, когда система выходит из строя:

Это может быть использовано, чтобы помочь вам логически разделить информацию на сеансы загрузки.

Хотя вы обычно хотите отображать информацию из текущей загрузки, бывают случаи, когда прошлые загрузки также были бы полезны. Журнал может сохранять информацию из многих предыдущих загрузок, поэтомуjournalctl может легко отображать информацию.

Некоторые дистрибутивы позволяют сохранять предыдущую загрузочную информацию по умолчанию, а другие отключают эту функцию. Чтобы включить постоянную загрузочную информацию, вы можете создать каталог для хранения журнала, набрав:

Или вы можете отредактировать файл конфигурации журнала:

В разделе[Journal] установите для параметраStorage= значение «persistent», чтобы включить постоянное ведение журнала:

/etc/systemd/journald.conf

Когда на вашем сервере включено сохранение предыдущих загрузок,journalctl предоставляет некоторые команды, которые помогут вам работать с загрузками как с единицей деления. Чтобы увидеть загрузку, о которой знаетjournald, используйте опцию--list-boots сjournalctl:

Это будет отображать строку для каждой загрузки. Первый столбец - это смещение загрузки, которое можно использовать для простой ссылки на загрузку с помощьюjournalctl. Если вам нужна абсолютная ссылка, идентификатор загрузки находится во втором столбце. Вы можете указать время, к которому относится сеанс загрузки, с помощью двух временных характеристик, указанных в конце.

Для отображения информации из этих ботинок вы можете использовать информацию из первого или второго столбца.

Например, чтобы увидеть журнал из предыдущей загрузки, используйте относительный указатель-1 с флагом-b:

Вы также можете использовать идентификатор загрузки, чтобы отозвать данные из загрузки:

Хотя просмотр записей журнала при загрузке невероятно полезен, часто вы можете запросить окна времени, которые не соответствуют системным загрузкам. Это может быть особенно актуально при работе с долго работающими серверами со значительным временем безотказной работы.

Вы можете фильтровать по произвольным временным ограничениям, используя параметры--since и--until, которые ограничивают отображаемые записи теми, которые отображаются после или до указанного времени, соответственно.

Значения времени могут быть в разных форматах. Для значений абсолютного времени вы должны использовать следующий формат:

Например, мы можем увидеть все записи с 10 января 2015 года в 17:15, набрав:

Если компоненты вышеуказанного формата не включены, будут применены некоторые значения по умолчанию. Например, если дата не указана, будет принята текущая дата. Если компонент времени отсутствует, будет подставлено «00:00:00» (полночь). Поле секунд также можно оставить по умолчанию «00»:

Журнал также понимает некоторые относительные значения и названные ярлыки. Например, вы можете использовать слова «вчера», «сегодня», «завтра» или «сейчас». Вы делаете относительное время, добавляя «-» или «+» к нумерованному значению или используя такие слова, как «назад» в конструкции предложения.

Чтобы получить данные вчера, вы можете набрать:

Если вы получили сообщения о прерывании обслуживания, начинающемся в 9:00 и продолжающемся до часа назад, вы можете ввести:

Как видите, относительно легко определить гибкие временные рамки для фильтрации записей, которые вы хотите видеть.

Возможно, самый полезный способ фильтрации - по интересующему вас устройству. Мы можем использовать опцию-u для фильтрации таким образом.

Например, чтобы увидеть все журналы из модуля Nginx в нашей системе, мы можем набрать:

Как правило, вы, вероятно, захотите отфильтровать по времени, чтобы отобразить интересующие вас строки. Например, чтобы проверить, как служба работает сегодня, вы можете набрать:

Этот тип фокуса становится чрезвычайно полезным, когда вы пользуетесь способностью журнала чередовать записи из разных блоков. Например, если ваш процесс Nginx подключен к модулю PHP-FPM для обработки динамического содержимого, вы можете объединить записи обоих в хронологическом порядке, указав оба модуля:

Это может упростить обнаружение взаимодействия между различными программами и системами отладки, а не отдельными процессами.

Некоторые службы порождают множество дочерних процессов для выполнения работы. Если вы нашли точный PID процесса, который вас интересует, вы также можете отфильтровать его.

Для этого мы можем фильтровать, указав поле_PID. Например, если интересующий нас PID - 8088, мы могли бы набрать:

В других случаях вы можете захотеть показать все записи, зарегистрированные от определенного пользователя или группы. Это можно сделать с помощью фильтров_UID или_GID. Например, если ваш веб-сервер работает под пользователемwww-data, вы можете найти идентификатор пользователя, набрав:

После этого вы можете использовать идентификатор, который был возвращен для фильтрации результатов журнала:

Журналsystemd имеет множество полей, которые можно использовать для фильтрации. Некоторые из них передаются из процесса, который регистрируется, а некоторые применяютсяjournald, используя информацию, которую он собирает из системы во время журнала.

Верхнее подчеркивание указывает, что поле_PID относится к последнему типу. Журнал автоматически записывает и индексирует PID процесса, который регистрируется для последующей фильтрации. Вы можете узнать обо всех доступных полях журнала, набрав:

Мы будем обсуждать некоторые из них в этом руководстве. Сейчас же мы рассмотрим еще одну полезную опцию, связанную с фильтрацией по этим полям. Параметр-F может использоваться для отображения всех доступных значений для данного поля журнала.

Например, чтобы узнать, для каких идентификаторов групп есть записи в журналеsystemd, вы можете ввести:

Это покажет вам все значения, которые журнал сохранил для поля идентификатора группы. Это может помочь вам построить ваши фильтры.

Мы также можем отфильтровать, указав путь.

Если путь ведет к исполняемому файлу,journalctl отобразит все записи, которые включают данный исполняемый файл. Например, чтобы найти те записи, которые включают исполняемый файлbash, вы можете ввести:

Обычно, если модуль доступен для исполняемого файла, этот метод является более чистым и предоставляет лучшую информацию (записи из связанных дочерних процессов и т. Д.). Иногда, однако, это невозможно.

Сообщения ядра, которые обычно находятся в выводеdmesg, также могут быть получены из журнала.

Чтобы отображать только эти сообщения, мы можем добавить к нашей команде флаги-k или--dmesg:

По умолчанию это будет отображать сообщения ядра от текущей загрузки. Вы можете указать альтернативную загрузку, используя обычные флаги выбора загрузки, которые обсуждались ранее. Например, чтобы получить сообщения от пяти загрузок назад, вы можете набрать:

Один фильтр, который часто интересует системных администраторов, - это приоритет сообщений. Хотя часто полезно регистрировать информацию на очень многословном уровне, при фактическом переваривании доступной информации журналы с низким приоритетом могут отвлекать и сбивать с толку.

Вы можете использоватьjournalctl для отображения только сообщений с указанным приоритетом или выше, используя опцию-p. Это позволяет вам отфильтровывать сообщения с более низким приоритетом.

Например, чтобы показать только записи, зарегистрированные с уровнем ошибки или выше, вы можете набрать:

Это покажет вам все сообщения, помеченные как ошибки, критические, оповещения или чрезвычайные ситуации. В журнале реализованы стандартные уровни сообщенийsyslog. Вы можете использовать либо имя приоритета, либо его соответствующее числовое значение. В порядке наивысшего приоритета это:

Приведенные выше числа или имена могут использоваться как синонимы с опцией-p. При выборе приоритета будут отображаться сообщения, отмеченные на указанном уровне, и те, которые находятся над ним.

Мы можем настроить отображение данныхjournalctl, указав ему сжимать или расширять вывод.

По умолчаниюjournalctl будет отображать всю запись на пейджере, позволяя записям перемещаться в правую часть экрана. К этой информации можно получить доступ, нажав клавишу со стрелкой вправо.

Если вы предпочитаете обрезать вывод, вставив многоточие там, где информация была удалена, вы можете использовать параметр--no-full:

Вы также можете пойти в противоположном направлении и указатьjournalctl отображать всю свою информацию, независимо от того, содержит ли она непечатаемые символы. Мы можем сделать это с помощью флага-a:

По умолчаниюjournalctl отображает вывод в пейджере для облегчения использования. Однако, если вы планируете обрабатывать данные с помощью инструментов обработки текста, вы, вероятно, захотите иметь возможность вывода на стандартный вывод.

Вы можете сделать это с помощью опции--no-pager:

Это может быть немедленно передано в утилиту обработки или перенаправлено в файл на диске, в зависимости от ваших потребностей.

Если вы обрабатываете записи журнала, как упоминалось выше, вам, скорее всего, будет проще анализировать данные, если они находятся в более удобном формате. К счастью, журнал может отображаться в различных форматах по мере необходимости. Вы можете сделать это с помощью параметра-o со спецификатором формата.

Например, вы можете вывести записи журнала в формате JSON, набрав:

Это полезно для разбора с утилитами. Вы можете использовать форматjson-pretty, чтобы лучше обрабатывать структуру данных, прежде чем передавать ее потребителю JSON:

Для отображения можно использовать следующие форматы:

Эти параметры позволяют отображать записи журнала в любом формате, который наилучшим образом соответствует вашим текущим потребностям.

Чтобы отобразить заданное количество записей, вы можете использовать параметр-n, который работает точно так же, какtail -n.

По умолчанию отображаются последние 10 записей:

Вы можете указать количество записей, которые хотите видеть, с помощью числа после-n:

Чтобы активно следить за журналами по мере их написания, вы можете использовать флаг-f. Опять же, это работает, как и следовало ожидать, если у вас есть опыт использованияtail -f:

Вы можете узнать количество места, которое журнал в настоящее время занимает на диске, используя флаг--disk-usage:

Если вы хотите уменьшить свой журнал, вы можете сделать это двумя разными способами (доступно вsystemd версии 218 и новее).

Если вы используете опцию--vacuum-size, вы можете уменьшить свой журнал, указав размер. Это удалит старые записи, пока общее пространство журнала, занимаемое на диске, не достигнет запрошенного размера:

Еще один способ уменьшить журнал - задать время отсечки с помощью параметра--vacuum-time. Любые записи после этого времени удаляются. Это позволяет вам сохранить записи, которые были созданы после определенного времени.

Например, чтобы сохранить записи за прошлый год, вы можете ввести:

Вы можете настроить свой сервер таким образом, чтобы он ограничивал пространство, занимаемое журналом. Это можно сделать, отредактировав файл/etc/systemd/journald.conf.

Следующие элементы могут быть использованы для ограничения роста журнала:

Устанавливая эти значения, вы можете контролировать, какjournald потребляет и сохраняет пространство на вашем сервере. Имейте в виду, чтоSystemMaxFileSize иRuntimeMaxFileSize будут нацелены на заархивированные файлы для достижения установленных ограничений. Это важно помнить при интерпретации количества файлов после операции очистки.