rsyslog.confの設定ガイド｜ログ転送・フィルタリング・テンプレートの実践例

この記事のポイント

・ rsyslog.conf はファシリティ.プライオリティ＋アクションの組み合わせで書く
・ @@サーバーIPでTCP転送、@サーバーIPでUDP転送を切り替えられる
・ filterとtemplateでログの整形・選別・個別ファイル保存が可能
・ トラブル時は rsyslogd -N1 で設定ファイルの構文エラーを検出できる

# rsyslog.confの場所を確認する
[root@sv1 ~]# cat /etc/rsyslog.conf | head -30
# rsyslog configuration file

# For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# or latest version online at http://www.rsyslog.com/doc/rsyslog_conf.html

#### MODULES ####
module(load="imuxsock")    # local system logging support
module(load="imjournal"    # provides access to systemd journal
       StateFile="imjournal.state")

#### GLOBAL DIRECTIVES ####
global(workDirectory="/var/lib/rsyslog")
 RSYSLOG_TraditionalFileFormat

#### RULES ####
# Log all kernel messages to the console.
kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
*.info;mail.none;authpriv.none;cron.none               /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog

# Log cron stuff
cron.*                                                  /var/log/cron

# /etc/rsyslog.d/error-only.conf
# err以上のログを /var/log/errors.log に保存する
*.err                                                   /var/log/errors.log

# errレベルのテストログを送信する
[root@sv1 ~]# logger -p user.err "テストエラーログ"

# /var/log/errors.log に記録されたか確認する
[root@sv1 ~]# tail -5 /var/log/errors.log
Jun  9 10:23:15 sv1 root: テストエラーログ

# /etc/rsyslog.d/remote-auth.conf（送信側サーバーの設定）

# TCPモジュールを有効化する
module(load="omfwd")

# authprivファシリティをTCPでログサーバーに転送する（ポート514）
authpriv.*    @@192.168.1.100:514

# /etc/rsyslog.d/receive.conf（受信側サーバーの設定）

# TCPでのログ受信を有効化する（ポート514）
module(load="imtcp")
input(type="imtcp" port="514")

# 受信したログをホスト名別のファイルに保存する
 RemoteLogs, "/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?RemoteLogs

# rsyslogを再起動する
[root@sv1 ~]# systemctl restart rsyslog

# 起動状態を確認する
[root@sv1 ~]# systemctl status rsyslog
* rsyslog.service - System Logging Service
     Loaded: loaded (/usr/lib/systemd/system/rsyslog.service; enabled)
     Active: active (running) since Mon 2026-06-09 10:30:00 JST; 3s ago

# /etc/rsyslog.d/nginx-separate.conf

# programname が "nginx" と一致するログを /var/log/nginx/rsyslog.log に保存する
:programname, isequal, "nginx"    /var/log/nginx/rsyslog.log

# 一致したログをデフォルトの /var/log/messages にも残したくない場合は
# & stop を追加する
:programname, isequal, "nginx"    /var/log/nginx/rsyslog.log
& stop

# /etc/rsyslog.d/custom-template.conf

# ISO 8601タイムスタンプ形式のテンプレートを定義する
 ISO8601Log,"%timereported:::date-rfc3339% %HOSTNAME% %syslogtag%%msg%
"

# 全ログに適用する
*.*    /var/log/syslog_iso8601.log;ISO8601Log

[root@sv1 ~]# tail -3 /var/log/syslog_iso8601.log
2026-06-09T10:35:22+09:00 sv1 systemd[1]: Started System Logging Service.
2026-06-09T10:35:22+09:00 sv1 rsyslogd: imjournal: journal files changed, reloading.
2026-06-09T10:35:23+09:00 sv1 root: テストメッセージ

# rsyslog.d配下のファイル構成例
[root@sv1 ~]# ls /etc/rsyslog.d/
50-default.conf    error-only.conf    remote-auth.conf    nginx-separate.conf

# rsyslog.confの末尾でrsyslog.dを読み込んでいることを確認する
[root@sv1 ~]# grep "rsyslog.d" /etc/rsyslog.conf
 /etc/rsyslog.d/*.conf

# rsyslog設定ファイルの構文チェック（ドライラン）
[root@sv1 ~]# rsyslogd -N1
rsyslogd: version 8.2310.0, config validation run (level 1), master config /etc/rsyslog.conf
rsyslogd: End of config validation run. Bye.

# ssコマンドでポート514の状態を確認する
[root@sv1 ~]# ss -lnpt | grep 514
LISTEN 0 25 0.0.0.0:514 0.0.0.0:*   users:(("rsyslogd",pid=12345,fd=6))

# firewalldでポート514を開放する
[root@sv1 ~]# firewall-cmd --add-port=514/tcp --permanent
success
[root@sv1 ~]# firewall-cmd --reload
success

# journald.confのForwardToSyslogを確認する
[root@sv1 ~]# grep ForwardToSyslog /etc/systemd/journald.conf
ForwardToSyslog=yes