Linux学习 - 日志管理
1 确定启动rsyslogd服务
ps aux | grep rsyslogd 查看服务是否启动
chkconfig --list | grep rsyslog 查看服务是否自启动
2 常见日志的作用
| 日志文件 | 说明 |
| /var/log/cron | 系统定时任务相关日志 |
| /var/log/cups | 打印信息日志 |
| /var/log/dmesg |
系统开机时内核自检信息， 也可以使用dmesg命令直接查看 |
| /var/log/btmp |
错误登入日志 二进制文件，使用lastb命令查看 |
| /var/log/lastlog |
所有用户最后一次登入时间日志 二进制文件，使用lastlog命令查看 |
| /var/log/mailog | 邮件信息 |
| /var/log/message | 系统重要信息日志 |
| /var/log/secure | 记录验证和授权方面的信息 |
| /var/log/wtmp |
记录所有用户登入、注销信息，同时记录系统启动、重启、关机事件 二进制文件，使用last命令查看 |
| /var/run/utmp |
记录当前已经登入的用户信息 使用w、who、users等命令来查询 |
注：除了系统默认的日志之外，采用RPM方式安装的系统服务也会默认把日志记录在/var/log/目录中。不过这些日志不是有rsyslogd服务来记录和管理的，而是各个服务使用自己的日志管理文档来记录自身日志。
二、rsyslogd日志服务
1 日志文件格式
事件产生的时间
发生事件的服务器主机名
产生事件的服务名或程序名
事件的具体信息
2 /etc/rsyslog.conf配置文件
格式：服务名称[连接符号]日志等级 日志记录位置
| 服务名称 | 说明 |
| auth | 安全和认证相关信息（不推荐使用，authpriv替代） |
| authpriv | 安全和认证相关信息（私有） |
| cron | 系统定时任务cront和at产生的日志 |
| daemon | 和各个守护进程相关的日志 |
| ftp | ftp守护进程产生的日志 |
| kern | 内核产生的日志（不是用户进程产生的） |
| local10-local7 | 为本地使用预留的服务 |
| lpr | 打印产生的日志 |
| 邮件收发信息 | |
| news | 与新闻服务器相关的日志 |
| syslog | 有syslogd服务产生的日志信息 |
| user | 用户等级类别的日志信息 |
| uucp | uucp子系统的日志信息 |
| 连接符号 | 说明 |
| . | 代表只要比后面的等级高的日志都记录 |
| .= | 代表只记录所需要等级的日志 |
| .! | 代表除了该等级的日志外，其他等级的日志都记录 |
注：“ .* ” 表示所有日志
| 日志等级 | 说明 |
| debug | 一般的调试信息说明 |
| info | 基本的通知信息 |
| notice | 普通信息，但是有一定的重要性 |
| warning | 警告信息，但不会影响到服务或系统的运行 |
| err | 错误信息，一般达到err等级的信息可以影响到服务或系统的运行 |
| crit | 临界状况信息，比err严重 |
| alert | 警告状况信息，比crit严重，必须立即采取行动 |
| emerg | 疼痛等级信息，系统已经无法使用 |
三、日志轮替
1 日志文件命名规则
如果在配置文件中拥有“dateext”参数，日志以日期命名，如“secure-20180310”
如果在配置文件中没有“dateext”参数，日志命名，如“secure.1”
