Linuxのシステムログを設定・確認する方法｜rsyslogとjournaldの設定ファイルと使い分け

この記事のポイント

・RHEL9ではrsyslogとjournaldが共存。journaldがカーネルログを受け取りrsyslogに転送する
・rsyslogの設定は/etc/rsyslog.confで「ファシリティ.プライオリティ 出力先」の形式で記述
・journalctlで過去のログを柔軟に検索できる（-u, --since, --until, -p）
・ログローテーションはlogrotate。/etc/logrotate.d/に設定ファイルを追加して管理する

# ログ管理プロセスの確認
[root@server ~]# systemctl status rsyslog
* rsyslog.service - System Logging Service
     Loaded: loaded (/usr/lib/systemd/system/rsyslog.service; enabled; preset: enabled)
     Active: active (running) since Tue 2026-04-07 09:00:00 JST; 2h ago
   Main PID: 1234 (rsyslogd)

[root@server ~]# systemctl status systemd-journald
* systemd-journald.service - Journal Service
     Loaded: loaded (/usr/lib/systemd/system/systemd-journald.service; static)
     Active: active (running) since Tue 2026-04-07 09:00:00 JST; 2h ago
   Main PID: 567 (systemd-journald)

# 書式
ファシリティ.プライオリティ  出力先

[root@server ~]# cat /etc/rsyslog.conf
# モジュール読み込み
module(load="imuxsock")    # ローカルのsyslog送信を受け付ける
module(load="imjournal" StateFile="imjournal.state")  # journaldからログを取得

#### GLOBAL DIRECTIVES ####
global(workDirectory="/var/lib/rsyslog")
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

#### RULES ####
# mail,authpriv,cron以外のinfo以上のログを/var/log/messagesに出力
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# 認証系のログは/var/log/secureに出力
authpriv.*                                              /var/log/secure

# メールログは/var/log/maillogに出力（-は非同期書き込み）
mail.*                                                  -/var/log/maillog

# cronのログは/var/log/cronに出力
cron.*                                                  /var/log/cron

# 緊急度emegのメッセージを全ユーザーに通知
*.emerg                                                 :omusrmsg:*

# 追加設定ファイルを読み込む
$IncludeConfig /etc/rsyslog.d/*.conf

# rsyslog.confを編集後に反映
[root@server ~]# systemctl restart rsyslog

# 設定ファイルの構文チェック
[root@server ~]# rsyslogd -N 1
rsyslogd: version 8.2102.0-105.el9, config validation run (level 1), master config /etc/rsyslog.conf
rsyslogd: End of config validation run. Bye.

[root@server ~]# cat /etc/systemd/journald.conf
[Journal]
#Storage=auto
#Compress=yes
#Seal=yes
#SplitMode=uid
#SyncIntervalSec=5m
#RateLimitIntervalSec=30s
#RateLimitBurst=10000
#SystemMaxUse=
#SystemKeepFree=
#SystemMaxFileSize=
#RuntimeMaxUse=
#RuntimeKeepFree=
#RuntimeMaxFileSize=
#MaxRetentionSec=
#MaxFileSec=1month
#ForwardToSyslog=yes
#ForwardToKMsg=no
#ForwardToConsole=no
#ForwardToWall=yes

# ログを永続化するディレクトリを作成
[root@server ~]# mkdir -p /var/log/journal

# パーミッション設定
[root@server ~]# systemd-tmpfiles --create --prefix /var/log/journal

# journaldを再起動して設定を反映
[root@server ~]# systemctl restart systemd-journald

# 確認（Storageが変わる）
[root@server ~]# journalctl --disk-usage
Archived and active journals take up 120.0M in the file system.

# 全ログを表示（新しい順）
[root@server ~]# journalctl -r | head -20

# リアルタイムにログを監視（tail -fと同等）
[root@server ~]# journalctl -f

# 起動してから現在までのログ
[root@server ~]# journalctl -b

# 特定サービスのログを表示（-uオプション）
[root@server ~]# journalctl -u httpd
-- ジャーナルの始め --
 4月 07 09:00:00 server systemd[1]: Starting The Apache HTTP Server...
 4月 07 09:00:01 server systemd[1]: Started The Apache HTTP Server.

# 2026-04-07の9時以降のログ
[root@server ~]# journalctl --since "2026-04-07 09:00:00"

# 2026-04-07の8時から10時までのログ
[root@server ~]# journalctl --since "2026-04-07 08:00:00" --until "2026-04-07 10:00:00"

# 1時間前からのログ
[root@server ~]# journalctl --since "1 hour ago"

# 昨日のログ
[root@server ~]# journalctl --since yesterday --until today

# err以上の重要度のログのみ表示（-pオプション）
[root@server ~]# journalctl -p err
 4月 07 11:00:00 server kernel: EXT4-fs error (device sdb): ext4_validate...

# warningのみを表示（=を付けて特定レベルのみ）
[root@server ~]# journalctl -p warning

# サービス指定＋重要度指定の組み合わせ
[root@server ~]# journalctl -u sshd -p err --since "2026-04-07"

# カーネルログのみ表示（dmesgと同等）
[root@server ~]# journalctl -k

# 最後のN行を表示（-nオプション）
[root@server ~]# journalctl -n 50

# ログをgrepする（パイプで使用）
[root@server ~]# journalctl -u httpd | grep "error"

# ディスク使用量を確認
[root@server ~]# journalctl --disk-usage

# 古いログを削除して容量を確保（2週間以上古いものを削除）
[root@server ~]# journalctl --vacuum-time=2weeks

# 500MB以上のログを削除
[root@server ~]# journalctl --vacuum-size=500M

[root@server ~]# cat /etc/logrotate.conf
# rotate log files weekly
weekly

# keep 4 weeks worth of backlogs
rotate 4

# create new (empty) log files after rotating old ones
create

# use date as a suffix of the rotated file
dateext

# uncomment this if you want your log files compressed
#compress

# packages drop log rotation information into this directory
include /etc/logrotate.d

# /etc/logrotate.d/httpd の内容例
[root@server ~]# cat /etc/logrotate.d/httpd
/var/log/httpd/*log {
    missingok
    notifempty
    sharedscripts
    delaycompress
    postrotate
        /bin/systemctl reload httpd.service > /dev/null 2>/dev/null || true
    endscript
}

# 設定のテスト実行（実際にはローテーションしない）
[root@server ~]# logrotate -d /etc/logrotate.conf
reading config file /etc/logrotate.conf
...
log needs rotating

# 強制的にローテーションを実行（テスト確認後に使用）
[root@server ~]# logrotate -f /etc/logrotate.conf

# 特定サービスの設定だけを実行
[root@server ~]# logrotate -f /etc/logrotate.d/httpd

# 書式
logger [-p ファシリティ.プライオリティ] [-t タグ] "メッセージ"

# info優先度でsyslogにメッセージを送信
[root@server ~]# logger -p syslog.info -t TEST "logger動作テスト"

# /var/log/messagesで確認
[root@server ~]# tail -3 /var/log/messages
Apr  7 09:30:00 server TEST: logger動作テスト

# journalctlでも確認できる
[root@server ~]# journalctl -t TEST
 4月 07 09:30:00 server TEST[12345]: logger動作テスト