日志服务管理和inode号

一、系统日志管理

1.1系统日志的介绍

在现实生活中，记录日志也非常重要，比如银行的转账记录，飞机上的黑盒子，那么将系统和应用发生的事件记录至日志中，以助于排错和分析使用

日志记录的内容包括：

历史事件：时间，地点，人物，事件
日志级别：事件的关键性程度，Loglevel error notice info debug

1.2rsyslog 系统日志服务

rsyslog是CentOS 6以后版本的系统管理服务:它提供了高性能，出色的安全性和模块化设计。尽管rsyslog最初是常规的syslogd，但发展成为一种瑞士军刀式的记录工具,能够接受来自各种来源的输入,并将其转换,然后输出到不同的目的地。

rsyslog：管理日志

使用他的话，需要rsyslog软件和那个软件之间要支持

日志功能：

记录系统、程序运行中发生事情

1.3日志的种类

系统日志

/var/log/secure：放系统安全

/var/log/message：存放系统大部分文件

用户登录日志

/var/log/btmp：查看用户登录失败的信息用 lastb命令看，因为btmp是二进制文件

/var/log/wtmp：查看哪些用户正常登录用 last 命令查看

/var/log/lastlog：记录用户最后一次登录的信息用 lastlog 命令查看

程序日志

和程序有关，有的有独立日志，有的没有

1.4journalctl：日志管理工具

CentOS 7 以后版，利用Systemd 统一管理所有 Unit 的启动日志。带来的好处就是，可以只用journalctl一个命令，查看所有日志（内核日志和应用日志）。

日志的配置文件

/etc/systemd/journald.conf

journalctl命令格式

journalctl [OPTIONS...] [MATCHES...]

选项说明：

--no-full, --full, -l
   如果字段内容超长则以省略号(...)截断以适应列宽。
   默认显示完整的字段内容(超长的部分换行显示或者被分页工具截断)。
   老旧的 -l/--full 选项仅用于撤销已有的 --no-full 选项，除此之外没有其他用处。

-a, --all
   完整显示所有字段内容，即使其中包含不可打印字符或者字段内容超长。

-f, --follow
   只显示最新的日志项，并且不断显示新生成的日志项。此选项隐含了 -n 选项。

-e, --pager-end
   在分页工具内立即跳转到日志的尾部。此选项隐含了 -n1000
   以确保分页工具不必缓存太多的日志行。不过这个隐含的行数可以被明确设置的 -n
   选项覆盖。注意，此选项仅可用于 less(1) 分页器。

-x, --catalog
   在日志的输出中增加一些解释性的短文本，以帮助进一步说明日志的含义、
   问题的解决方案、支持论坛、开发文档、以及其他任何内容。
   并非所有日志都有这些额外的帮助文本，详见 Message Catalog Developer
   Documentation[5] 文档。
   注意，如果要将日志输出用于bug报告，请不要使用此选项。

-n, --lines=
   限制显示最新的日志行数。 --pager-end 与 --follow 隐含了此选项。
   此选项的参数：若为正整数则表示最大行数；若为 "all" 则表示不限制行数；
   若不设参数则表示默认值10行。

--no-tail
   显示所有日志行，也就是用于撤销已有的 --lines= 选项(即使与 -f 连用)。

-r, --reverse
   反转日志行的输出顺序，也就是最先显示最新的日志。

-o, --output=
   控制日志的输出格式。可以使用如下选项：
   short
       这是默认值，其输出格式与传统的 syslog[1] 文件的格式相似，每条日志一行。
   short-iso
       与 short 类似，只是将时间戳字段以 ISO 8601 格式显示。
   short-precise
       与 short 类似，只是将时间戳字段的秒数精确到微秒级别。
   short-monotonic
       与 short 类似，只是将时间戳字段的零值从内核启动时开始计算。
   short-unix
       与 short 类似，只是将时间戳字段显示为从"UNIX时间原点"(1970-1-1 00:00:00
       UTC)以来的秒数。精确到微秒级别。
   verbose
       以结构化的格式显示每条日志的所有字段。
    export
       将日志序列化为二进制字节流(大部分依然是文本) 以适用于备份与网络传输(详见
       Journal Export Format[2] 文档)。

   json
       将日志项按照JSON数据结构格式化，每条日志一行(详见 Journal JSON Format[3]
       文档)。
   json-pretty
       将日志项按照JSON数据结构格式化，但是每个字段一行，以便于人类阅读。
   json-sse
       将日志项按照JSON数据结构格式化，每条日志一行，但是用大括号包围，以适应
       Server-Sent Events[4] 的要求。
    cat
       仅显示日志的实际内容，而不显示与此日志相关的任何元数据(包括时间戳)。