Пакеты, службы, журналы / Ступень 12 из 13 · шаг 8 из 9

Ограничь хранение учебного журнала

~25 мин

Не запущена Запускается обычно ~20 с

Ситуация

Учебная служба lab-retention-seed пишет в отдельное пространство журнала systemd — lab-retention. У пространства свой экземпляр systemd-journald@lab-retention.service и своя конфигурация /etc/systemd/journald@lab-retention.conf. Архивы этого пространства уже занимают больше 24 MiB. Среди старых записей есть три, которые нужны для разбора инцидента: их текст начинается с lab-evidence:. Основной системный журнал к задаче не относится.

Задача

Три записи lab-evidence: службы lab-retention-seed сохранены в /home/student/journal-evidence.txt в формате short-iso (с датой и временем): ровно эти три строки, файл принадлежит тебе.
В /etc/systemd/journald@lab-retention.conf задан постоянный лимит SystemMaxUse=16M; остальные параметры прежние, дополнительных файлов настроек нет.
Архивные файлы пространства занимают не больше 16 MiB (текущий активный файл не в счёт).
Экземпляр журнала пространства работает с новой настройкой и принимает новые записи.
Основной журнал и его настройки, служба lab-retention-seed и её программа не тронуты.

Ограничения

Файлы журнала не удаляй и не обнуляй вручную — только средствами journalctl.
Основной systemd-journald не перенастраивай и не чисти.
Журналирование не выключай и не перенаправляй в /dev/null.

Нужные инструменты уже установлены. Интернета на машине нет.

Цели лабы

0 из 5

Три записи lab-evidence со временем сохранены в journal-evidence.txt — ещё не проверялась
В конфигурации пространства изменён только SystemMaxUse — на 16M — ещё не проверялась
Архивы пространства lab-retention занимают не больше 16 MiB — ещё не проверялась
Экземпляр журнала перезапущен с новой настройкой и принимает новые записи — ещё не проверялась
Основной журнал, его настройки и файлы задания не тронуты — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Логи и аудит · подобрано по лабе

journalctl — логи и журнал systemd

Шпаргалка

$_ — вставить в терминал

journalctl -u nginx -f хвост логов службы
journalctl -xeu nginx разбор сбоя
journalctl -p err -b ошибки за текущую загрузку
journalctl -k сообщения ядра
journalctl _COMM=sshd -g fail по процессу + совпадение в тексте
journalctl -b -1 прошлая загрузка
journalctl --vacuum-time=7d чистка

Флаг	Смысл
`-u <unit>`	только эта служба
`-f` / `-e`	follow / сразу к концу
`-x`	пояснения к сообщениям
`-p <prio>`	приоритет: emerg..debug (или err, warning)
`-b [N]`	за текущую (или N-ю) загрузку
`-k`	сообщения ядра
`-g RE`	grep по тексту
`-o <fmt>`	формат: short, json, json-pretty, cat, verbose
`--since/--until`	временной диапазон

Фильтр по структурным полям (без службы):

bash

journalctl _PID=1234              # по PID
journalctl _COMM=sshd             # по имени процесса
journalctl _UID=1000 --since today
journalctl _SYSTEMD_UNIT=ssh.service -p warning
journalctl -o json-pretty -u nginx -n 1   # все поля одной записи
journalctl --user -u myapp        # пользовательская служба

Команды

bash

journalctl -u nginx               # записи службы nginx
journalctl -u nginx -f            # следить в реальном времени (как tail -f)
journalctl -u nginx --since "10 min ago"
journalctl -xeu nginx             # хвост + пояснения (x) при разборе сбоя
journalctl -p err -b              # только ошибки за текущую загрузку
journalctl -k                     # сообщения ядра (= dmesg)
journalctl --since today --until "1 hour ago"
journalctl -b -1                  # журнал ПРЕДЫДУЩЕЙ загрузки (что было до ребута)
journalctl -g 'pattern'           # grep по сообщениям (регэксп)
journalctl --disk-usage           # сколько занимает
sudo journalctl --vacuum-time=7d  # подчистить старше 7 дней

Свои строки в журнале: logger и -t

text

student@ubuntu:~$ logger -t cleanup "removed 3 files"
student@ubuntu:~$ journalctl -t cleanup --no-pager -n 2
Oct 20 10:50:48 ubuntu cleanup[1143]: removed 3 files

logger -t метка пишет строку в журнал от имени метки, journalctl -t метка показывает только её. Вывод скрипта, запущенного службой, идёт с меткой по имени скрипта: journalctl -t clean.sh. Без групп adm или systemd-journal student видит только свои записи — чужие и системные читай через sudo.

Журнал пустой после ребута

journald не persistent. Создай /var/log/journal (см. «Обзор»). journalctl -b -1 тогда покажет прошлую загрузку.

Диск забит журналом

journalctl --disk-usage, затем --vacuum-time=7d или --vacuum-size=500M. Постоянный лимит — /etc/systemd/journald.conf (SystemMaxUse=500M).

Нужны логи конкретного сбоя

journalctl -xeu <unit> --since "5 min ago" — самый частый диагностический запрос (см. systemctl).

Время в журнале «не то»

journald пишет в UTC внутри, показывает в локальной TZ. Сверь timedatectl; journalctl --utc для UTC.

Логи службы идут и в /var/log (дубли)

journald + rsyslog могут дублировать. Где смотреть — rsyslog (текстовые файлы) vs journalctl (структурно по -u).