Пакеты, службы, журналы / Ступень 12 из 13

Ротация и хранение журналов

Не запущена Запускается обычно ~20 с

Шаг 8 из 9 · лаба · 25 мин

Ограничь хранение учебного журнала

Отдельное пространство журнала systemd разрослось. Сохрани нужные записи, задай постоянный лимит и почисти старые архивы только этого пространства.

Ситуация

Учебная служба lab-retention-seed пишет в отдельное пространство журнала systemd — lab-retention. У пространства свой экземпляр systemd-journald@lab-retention.service и своя конфигурация /etc/systemd/journald@lab-retention.conf. Архивы этого пространства уже занимают больше 24 MiB. Среди старых записей есть три, которые нужны для разбора инцидента: их текст начинается с lab-evidence:. Основной системный журнал к задаче не относится.

Задача

Три записи lab-evidence: службы lab-retention-seed сохранены в /home/student/journal-evidence.txt в формате short-iso (с датой и временем): ровно эти три строки, файл принадлежит тебе.
В /etc/systemd/journald@lab-retention.conf задан постоянный лимит SystemMaxUse=16M; остальные параметры прежние, дополнительных файлов настроек нет.
Архивные файлы пространства занимают не больше 16 MiB (текущий активный файл не в счёт).
Экземпляр журнала пространства работает с новой настройкой и принимает новые записи.
Основной журнал и его настройки, служба lab-retention-seed и её программа не тронуты.

Ограничения

Файлы журнала не удаляй и не обнуляй вручную — только средствами journalctl.
Основной systemd-journald не перенастраивай и не чисти.
Журналирование не выключай и не перенаправляй в /dev/null.

Нужные инструменты уже установлены. Интернета на машине нет.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 5

Три записи lab-evidence со временем сохранены в journal-evidence.txt — ещё не выполнена
В конфигурации пространства изменён только SystemMaxUse — на 16M — ещё не выполнена
Архивы пространства lab-retention занимают не больше 16 MiB — ещё не выполнена
Экземпляр журнала перезапущен с новой настройкой и принимает новые записи — ещё не выполнена
Основной журнал, его настройки и файлы задания не тронуты — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 5

Три записи lab-evidence со временем сохранены в journal-evidence.txt — ещё не выполнена
В конфигурации пространства изменён только SystemMaxUse — на 16M — ещё не выполнена
Архивы пространства lab-retention занимают не больше 16 MiB — ещё не выполнена
Экземпляр журнала перезапущен с новой настройкой и принимает новые записи — ещё не выполнена
Основной журнал, его настройки и файлы задания не тронуты — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 5

Три записи lab-evidence со временем сохранены в journal-evidence.txt — ещё не выполнена
В конфигурации пространства изменён только SystemMaxUse — на 16M — ещё не выполнена
Архивы пространства lab-retention занимают не больше 16 MiB — ещё не выполнена
Экземпляр журнала перезапущен с новой настройкой и принимает новые записи — ещё не выполнена
Основной журнал, его настройки и файлы задания не тронуты — ещё не выполнена

Логи и аудит · подобрано по лабе

journalctl — логи и журнал systemd

Шпаргалка

$_ — вставить в терминал

journalctl -u nginx -f хвост логов службы
journalctl -xeu nginx разбор сбоя
journalctl -p err -b ошибки за текущую загрузку
journalctl -k сообщения ядра
journalctl _COMM=sshd -g fail по процессу + совпадение в тексте
journalctl -b -1 прошлая загрузка
journalctl --vacuum-time=7d чистка

Флаг	Смысл
`-u <unit>`	только эта служба
`-f` / `-e`	follow / сразу к концу
`-x`	пояснения к сообщениям
`-p <prio>`	приоритет: emerg..debug (или err, warning)
`-b [N]`	за текущую (или N-ю) загрузку
`-k`	сообщения ядра
`-g RE`	grep по тексту
`-o <fmt>`	формат: short, json, json-pretty, cat, verbose
`--since/--until`	временной диапазон

Фильтр по структурным полям (без службы):

bash

journalctl _PID=1234              # по PID
journalctl _COMM=sshd             # по имени процесса
journalctl _UID=1000 --since today
journalctl _SYSTEMD_UNIT=ssh.service -p warning
journalctl -o json-pretty -u nginx -n 1   # все поля одной записи
journalctl --user -u myapp        # пользовательская служба

Команды

bash

journalctl -u nginx               # записи службы nginx
journalctl -u nginx -f            # следить в реальном времени (как tail -f)
journalctl -u nginx --since "10 min ago"
journalctl -xeu nginx             # хвост + пояснения (x) при разборе сбоя
journalctl -p err -b              # только ошибки за текущую загрузку
journalctl -k                     # сообщения ядра (= dmesg)
journalctl --since today --until "1 hour ago"
journalctl -b -1                  # журнал ПРЕДЫДУЩЕЙ загрузки (что было до ребута)
journalctl -g 'pattern'           # grep по сообщениям (регэксп)
journalctl --disk-usage           # сколько занимает
sudo journalctl --vacuum-time=7d  # подчистить старше 7 дней

Свои строки в журнале: logger и -t

text

student@ubuntu:~$ logger -t cleanup "removed 3 files"
student@ubuntu:~$ journalctl -t cleanup --no-pager -n 2
Oct 20 10:50:48 ubuntu cleanup[1143]: removed 3 files

logger -t метка пишет строку в журнал от имени метки, journalctl -t метка показывает только её. Вывод скрипта, запущенного службой, идёт с меткой по имени скрипта: journalctl -t clean.sh. Без групп adm или systemd-journal student видит только свои записи — чужие и системные читай через sudo.

Журнал пустой после ребута

journald не persistent. Создай /var/log/journal (см. «Обзор»). journalctl -b -1 тогда покажет прошлую загрузку.

Диск забит журналом

journalctl --disk-usage, затем --vacuum-time=7d или --vacuum-size=500M. Постоянный лимит — /etc/systemd/journald.conf (SystemMaxUse=500M).

Нужны логи конкретного сбоя

journalctl -xeu <unit> --since "5 min ago" — самый частый диагностический запрос (см. systemctl).

Время в журнале «не то»

journald пишет в UTC внутри, показывает в локальной TZ. Сверь timedatectl; journalctl --utc для UTC.

Логи службы идут и в /var/log (дубли)

journald + rsyslog могут дублировать. Где смотреть — rsyslog (текстовые файлы) vs journalctl (структурно по -u).