第十四章日志管理（rsyslogd，日志轮询）
14.1 日志管理简介
1、 日志服务
在CentOS 6.x中日志服务已经由rsyslogd取代了原先的syslogd服务。rsyslogd日志服务更加先进，功能更多。但是不论该服务的使用，还是日志文件的格式其实都是和syslogd服务相兼容的，所以学习起来基本和syslogd服务一致。
rsyslogd的新特点：
基于TCP网络协议传输日志信息；
更安全的网络传输方式；
有日志消息的及时分析框架；
后台数据库；
配置文件中可以写简单的逻辑判断；
与syslog配置文件相兼容。
确定服务启动
[root@localhost ~]# ps aux | grep rsyslogd
#查看服务是否启动
chkconfig --list | grep rsyslog
systemctl list-unit-files | grep rsyslog [Centos7]
#查看服务是否自启动
2、 常见日志的作用
特别的：cd /var/log 然后执行 lastb 命令才能查看错误登录日志btmp
同理，通过 lastlog 命令查看用户最后一次登录的时间的日志
除了系统默认的日志之外，采用RPM方式安装的系统服务也会默认把日志记录在/var/log/目录中（源码包安装的服务日志是在源码包指定目录中）。不过这些日志不是由rsyslogd服务来记录和管理的，而是各个服务使用自己的日志管理文档来记录自身日志。
14.2 rsyslogd日志服务
1、 日志文件格式
基本日志格式包含以下四列：
事件产生的时间；
发生事件的服务器的主机名；
产生事件的服务名或程序名；
事件的具体信息。
2、/etc/rsyslog.conf配置文件
authpriv.* /var/log/secure
#服务名称[连接符号]日志等级 日志记录位置
#认证相关服务.所有日志等级 记录在/var/log/secure日志中
服务名称
连接符号
连接符号可以识别为：
“*”代表所有日志等级，比如：“authpriv.*”代表authpriv认证信息服务产生的日志，所有的日志等级都记录
“.”代表只要比后面的等级高的（包含该等级）日志都记录下来。比如：“cron.info”代表cron服务产生的日志，只要日志等级大于等于info级别，就记录
“.=”代表只记录所需等级的日志，其他等级的都不记录。比如：“*.=emerg”代表人和日志服务产生的日志，只要等级是emerg等级就记录。这种用法及少见，了解就好
“.!”代表不等于，也就是除了该等级的日志外，其他等级的日志都记录。
日志等级
上图中，等级从上到下逐渐增大，debug是最低等级
日志记录位置
日志文件的绝对路径，如“/var/log/secure”
系统设备文件，如“/dev/lp0”
转发给远程主机，如“@192.168.0.210:514”
用户名，如“root”
忽略或丢弃日志，如“~”
14.3 日志轮替
1、 日志文件的命名规则
如果配置文件中拥有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如“secure-20130605”。这样的话日志文件名不会重叠，所以也就不需要日志文件的改名，只需要保存指定的日志个数，删除多余的日志文件即可。
如果配置文件中没有“dateext”参数，那么日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志，用来保存新的日志。当第二次进行日志轮替时，“secure.1”会自动改名为“secure.2”，当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。
2、 logrotate配置文件
可以用命令查看这个文件：more /etc/logrotate.conf
daily/weekly/monthly 轮替的周期是每天/每周/每个月
rotate 数字 保留的日志文件的个数，0 指没有备份
compress 日志轮替时，旧的日志进行压缩
create mode owner group 建立新日志，同时指定新日志的权限与所有者和所有组。如create 0600 root utmp
3、 把apache日志加入轮替
[root@localhost ~]# vi /etc/logrotate.conf
/usr/local/apache2/logs/access_log {
daily
create
rotate 30
}
4、 logrotate命令
[root@localhost ~]# logrotate [选项] 配置文件名
选项：
如果此命令没有选项，则会按照配置文件中的条件进行日志轮替
-v： 显示日志轮替过程。加了-v选项，会显示日志的轮 替的过程
-f： 强制进行日志轮替。不管日志轮替的条件是否已经 符合，强制配置文件中所有的日志进行轮替
如：logrotate -v /etc/logrotate.conf
logrotate -f /etc/logrotate.conf
cd /usr/local/apache2/logs
ls
就可以看到日志
