tailコマンドでログ監視する方法｜tail -fの使い方やgrep連携も

この記事のポイント

・tail -f はログをリアルタイム監視する運用保守の基本コマンド
・ログローテーションに対応するには -F（大文字）を使うのが鉄則
・grep や journalctl と組み合わせれば、必要な情報だけを絞り込める
・nohup で tail -F をバックグラウンド実行すれば、ターミナルを閉じても長時間監視が継続できる

# 基本書式
# tail [オプション] ファイル名

# /var/log/messages の末尾10行を表示する
# tail /var/log/messages

# 末尾30行を表示する
# tail -n 30 /var/log/messages

# tail -n 5 /var/log/messages
May 28 09:10:32 web01 kernel: EXT4-fs (sda1): mounted filesystem
May 28 09:10:34 web01 systemd[1]: Started OpenSSH Server Daemon.
May 28 09:10:35 web01 sshd[1234]: Server listening on 0.0.0.0 port 22.
May 28 09:15:02 web01 sshd[2341]: Accepted publickey for ec2-user
May 28 09:20:01 web01 CROND[3012]: (root) CMD (/usr/lib64/sa/sa1 1 1)

# 末尾20行を表示する
# tail -n 20 /var/log/messages

# -n を省略して数字だけでも指定できる
# tail -20 /var/log/messages

# 50行目以降を全て表示する
# tail -n +50 /var/log/messages

# ヘッダー行（1行目）をスキップして2行目以降を表示する
# tail -n +2 /tmp/access.csv

# 末尾500バイトを表示する
# tail -c 500 /var/log/messages

# 末尾1KB（1024バイト）を表示する
# tail -c 1024 /var/log/messages

# /var/log/messages をリアルタイム監視する
# tail -f /var/log/messages

# tail -f /var/log/messages
May 28 09:30:01 web01 systemd[1]: Starting Session 42 of User ec2-user.
May 28 09:30:01 web01 CROND[5201]: (root) CMD (/usr/lib64/sa/sa1 1 1)
May 28 09:30:02 web01 systemd[1]: Started Session 42 of User ec2-user.
May 28 09:35:01 web01 CROND[5302]: (root) CMD (/usr/lib64/sa/sa1 1 1)
           ← ここで待機中（新しい行が書き込まれると自動で表示される）

# 直近50行を表示してから監視を開始する
# tail -n 50 -f /var/log/messages

# 直近0行（＝過去の表示なし）で、新規追記分だけを監視する
# tail -n 0 -f /var/log/messages

# messages と secure を同時に監視する
# tail -f /var/log/messages /var/log/secure

==> /var/log/messages <==
Mar 10 10:00:01 server systemd: Started Session 123.

==> /var/log/secure <==
Mar 10 10:00:05 server sshd[1234]: Accepted publickey for admin

# ERROR を含む行だけをリアルタイム監視する
# tail -f /var/log/messages | grep "ERROR"

# 大文字・小文字を区別せずに error を抽出する
# tail -f /var/log/messages | grep -i "error"

# 特定のIPアドレスからのアクセスだけを監視する
# tail -f /var/log/httpd/access_log | grep "192.168.1.100"

# 特定のキーワードを除外して監視する（CRONのログは邪魔なので除外）
# tail -f /var/log/messages | grep -v "CRON"

# --line-buffered で1行ずつ即時表示する
# tail -f /var/log/messages | grep --line-buffered "ERROR"

# ログローテーションに追従して監視する（本番環境向け）
# tail -F /var/log/messages

# --follow=name と --retry を組み合わせた確実な追跡
# tail --follow=name --retry /var/log/messages

# tail -F /var/log/messages
May 28 10:00:01 web01 CROND[6100]: (root) CMD (...)
（logrotate が実行）
tail: '/var/log/messages' has been replaced; following new file
May 28 10:00:05 web01 rsyslog[850]: imuxsock: Acquired UNIX socket...
（新しいファイルの監視を自動で再開）

# ファイルの先頭10行を表示する
# head /etc/httpd/conf/httpd.conf

# ファイルの先頭20行を表示する
# head -n 20 /etc/httpd/conf/httpd.conf

# プロセス一覧からCPU使用率の高い上位5つを表示する
# ps aux --sort=-%cpu | head -6

# 最近更新されたファイル5つを表示する
# ls -lt /var/log/ | head -6

# ディスク使用量の大きいディレクトリ上位10件を表示する
# du -sh /var/* | sort -rh | head -10

# 長い出力の末尾5行だけを表示する
# dmesg | tail -5

# システム全体のログをリアルタイム監視する
# journalctl -f

# 特定のサービス（例：httpd）のログだけを監視する
# journalctl -u httpd -f

# 特定の優先度（エラー以上）のログだけを監視する
# journalctl -f -p err

# ERROR または WARNING を含む行だけを監視する
# tail -f /var/log/messages | grep --line-buffered -E "ERROR|WARNING"

# 特定のキーワードを除外して監視する
# tail -f /var/log/messages | grep --line-buffered -v "CRON"

# 画面に表示しつつ、ファイルにも保存する
# tail -f /var/log/messages | tee /tmp/monitor.log

# grep で絞り込んだ結果だけを保存する
# tail -f /var/log/messages | grep --line-buffered "ERROR" | tee /tmp/error_monitor.log

#!/bin/bash
# エラー行を検知したらターミナルにアラートを出す
# 使い方: bash watch-error.sh /var/log/httpd/error_log

LOG_FILE="${1:-/var/log/messages}"
PATTERN="error|critical|fatal"

echo "[監視開始] ${LOG_FILE}"
tail -F "${LOG_FILE}" | while read -r line; do
    if echo "${line}" | grep -qiE "${PATTERN}"; then
        echo "[ALERT] $(date '+%Y-%m-%d %H:%M:%S') ${line}"
    fi
done

# バックグラウンドで tail -F を実行しログファイルへ書き出す
# nohup tail -F /var/log/httpd/error_log > /tmp/tail-output.log 2>&1 &
# echo $! > /tmp/tail-watch.pid

# 後から確認する
# tail -f /tmp/tail-output.log

# 監視を停止する
# kill $(cat /tmp/tail-watch.pid)

# tail -f /var/log/secure
tail: cannot open '/var/log/secure' for reading: Permission denied

# root で実行する
# sudo tail -f /var/log/secure

# 一般ユーザーを adm グループに追加する（RHEL/CentOS 系）
# sudo usermod -aG adm ec2-user

# バッファリングを無効化して即時表示する
# tail -f /var/log/messages | grep --line-buffered "ERROR"

# ログローテーション対応版
# tail -F /var/log/messages