Trouver et lire ses logs

[débitant]

Sauvegarde, suite à un effacement accidentel, du tuto créé par cyrille

Question qui revient souvent "comment lire mes logs ?"

systemd possède son propre mécanisme de journalisation, syslog n'est plus requis par défaut.

Pour lire les logs il faut les droits sudo

Ensuite quelques exemples valant mieux qu'un long discours

Lire les logs enregistrés depuis 2 jour

Code : Tout sélectionner

sudo journalctl --since "2 days ago"   

ou (en supposant que la date actuelle est 2021-08-02)

Code : Tout sélectionner

sudo journalctl --since "2021-08-00 17:15:00"

Lire les logs entre 2 dates

Code : Tout sélectionner

sudo journalctl --since "2021-05-10" --until "2021-06-11 03:00"

Lire les logs depuis le démarrage de la machine

Code : Tout sélectionner

sudo journalctl -b 

Lire les logs du démarrage précédent

Code : Tout sélectionner

sudo journalctl -b-1

Récupérer la liste des démarrages

Code : Tout sélectionner

sudo journalctl --list-boots

Lire les logs d'un démarrage spécifique

Code : Tout sélectionner

sudo journalctl -bX

où x est le démarrage auquel vous faites référence

ou utiliser l'ID de démarrage pour rappeler les logs d'un démarrage

Code : Tout sélectionner

sudo journalctl -b 92eeb12b6a044c80a03fdd5ef5b2680d

Lire que les messages du kernel

Code : Tout sélectionner

sudo journalctl -k  

Lire les logs par "niveau de logs"
Avec les entrées : emerg|alert|crit|err|warning|info|debug

Code : Tout sélectionner

sudo journalctl -p err 

Lire les logs avec filtre par service

Code : Tout sélectionner

sudo journalctl -u sshd 
sudo journalctl -u crond

Lire les logs avec filtre par programme

Code : Tout sélectionner

sudo journalctl /usr/sbin/sshd

Lire les logs pour un utilisateur

Code : Tout sélectionner

sudo journalctl _UID=1000 

Afficher les 20 derniers logs

Code : Tout sélectionner

sudo journalctl -n 20

Suivre les logs "en temps réel"

Code : Tout sélectionner

sudo journalctl -f

Connaitre la taille qu'occupe les logs

Code : Tout sélectionner

sudo journalctl --disk-usage

Le fichier de configuration pour la gestion de la taille des logs

Le fichier de configuration est ici : /etc/systemd/journald.conf

Limiter la taille des logs à 500 Mo

Code : Tout sélectionner

SystemMaxUse=500M

Fixer une limite par fichier, on a un équivalent de logrotate (par défaut, il garde 7 rotations) :

Code : Tout sélectionner

SystemMaxUse=500M
SystemMaxFileSize=100M

Ne pas conserver de logs sur le disque au redémarrage (machine non critique) :

Code : Tout sélectionner

[Journal]
Storage=volatile