Linuxのログファイルの種類と確認方法｜/var/log配下の一覧とjournalctlの使い方

この記事のポイント

・/var/log配下の主要ファイルの役割を一覧で把握できる
・journalctl -xe / -b でリアルタイムの障害ログを確認できる
・syslog→rsyslog→journald の歴史的な変遷を理解できる
・logrotate.conf でログローテーションを制御する方法がわかる

# rsyslog の設定確認
cat /etc/rsyslog.conf | grep -v "^#" | grep -v "^$"

# rsyslog のサービス状態確認
systemctl status rsyslog

# /var/log/journal/ ディレクトリを作成する（永続化）
sudo mkdir -p /var/log/journal
sudo systemd-tmpfiles --create --prefix /var/log/journal

# または journald.conf で設定
sudo vi /etc/systemd/journald.conf
# Storage=persistent を設定

# 全ログをページャーで表示（最新は末尾）
journalctl

# リアルタイムで新しいログを追いかける（tail -f 相当）
journalctl -f

# 最新50行を表示
journalctl -n 50

# エラー以上のログだけ表示
journalctl -p err

# 今回の起動時のログ
journalctl -b

# 前回の起動時のログ（再起動直前のエラーを調べるときに便利）
journalctl -b -1

# sshd のログだけ表示
journalctl -u sshd

# httpd のリアルタイムログ
journalctl -u httpd -f

# cron のログ（過去1時間）
journalctl -u crond --since "1 hour ago"

# 今日の0:00以降のログ
journalctl --since today

# 特定の時間帯のログ
journalctl --since "2026-04-07 10:00:00" --until "2026-04-07 11:00:00"

# 昨日のログ
journalctl --since yesterday --until today

# JSON形式で出力（ログ解析ツールへの連携に使う）
journalctl -o json-pretty -n 5

# 詳細なシステム情報とともにエラーを表示（障害調査の第一歩）
journalctl -xe

Apr 07 10:23:14 web01.example.com sshd[3842]: Failed password for invalid user admin from 203.0.113.xx port 54321 ssh2
Apr 07 10:23:15 web01.example.com sshd[3843]: Failed password for invalid user admin from 203.0.113.xx port 54322 ssh2
Apr 07 10:23:16 web01.example.com sshd[3844]: Failed password for root from 203.0.113.xx port 54323 ssh2

# /etc/logrotate.conf の例（主要部分）
weekly          # 週次でローテーション
rotate 4        # 4世代分保持
compress        # 古いログを gzip 圧縮
dateext         # 日付をファイル名に付ける（2026-04-07.gz 形式）
missingok       # ファイルがなくてもエラーにしない
notifempty      # 空ファイルはローテーションしない

# /etc/logrotate.d/httpd
/var/log/httpd/*log {
    weekly
    rotate 4
    missingok
    notifempty
    sharedscripts
    delaycompress
    postrotate
        /bin/systemctl reload httpd.service > /dev/null 2>/dev/null || true
    endscript
}

# 設定のデバッグ（実際にはローテーションしない）
sudo logrotate -d /etc/logrotate.conf

# 強制的にローテーション実行（テスト用）
sudo logrotate -f /etc/logrotate.conf

# 特定のログだけ強制実行
sudo logrotate -f /etc/logrotate.d/httpd

# /var/log のディスク使用量を確認
du -sh /var/log/*

# journald のディスク使用量を確認
journalctl --disk-usage

# journald のログを手動削除（古いログを2週間分だけ残す）
sudo journalctl --vacuum-time=2weeks

# または容量ベースで削除（500MBまで）
sudo journalctl --vacuum-size=500M

# 一般ユーザーを systemd-journal グループに追加（再ログイン後に有効）
sudo usermod -aG systemd-journal username

# rsyslog の状態確認
systemctl status rsyslog

# 再起動
sudo systemctl restart rsyslog

# 自動起動を有効に
sudo systemctl enable rsyslog

# AVC（アクセス拒否）ログのみ表示
ausearch -m avc -ts today

# 拒否の理由を分かりやすく表示
ausearch -m avc -ts today | audit2why

# ポリシーモジュールの自動生成（上級者向け）
ausearch -m avc -ts today | audit2allow -M mymodule

# RHEL 系：SSH 不正試行を IP アドレスごとにカウント
grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -rn | head -20

# Ubuntu 系
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn | head -20

# journalctl で絞り込む場合
journalctl -u sshd --since "24 hours ago" | grep "Failed password"

# 直近のcron実行を確認
tail -50 /var/log/cron

# または journalctl で
journalctl -u crond --since today

# 特定スクリプトのログを絞り込む
grep "backup.sh" /var/log/cron

# dmesg でカーネルメッセージを確認（直近のもの）
dmesg | tail -30

# エラー・警告だけ抽出
dmesg -l err,warn

# タイムスタンプ付きで表示（カーネル起動時刻からの経過秒）
dmesg -T | grep -i "error\|fail\|warn" | tail -20

# syslog に書き込む（ファシリティ:user、レベル:info）
logger "バックアップ完了: $(date)"

# ファシリティとレベルを指定
logger -p local0.info "デプロイ開始: v2.1.0"

# スクリプト内での使い方例
if ./backup.sh; then
    logger -p local0.info "backup.sh 成功"
else
    logger -p local0.err "backup.sh 失敗: exitcode=$?"
fi