OllamaでLinuxのログを自動解析する方法｜journalctlとシェルスクリプトでエラーを要約・分類してcronで自動化する

この記事のポイント

・journalctl -p err の出力をcurlでOllamaのAPIに渡してエラーを自動要約できる
・シェルスクリプト1本で取得・解析・メール通知まで一気に自動化できる
・cronで日次実行することでログ確認の工数をほぼゼロに近づけられる
・プロンプトに役割指定と出力フォーマットを明記すると解析精度が大きく上がる

# サービス状態の確認
$ systemctl status ollama
* ollama.service - Ollama Service
     Loaded: loaded (/etc/systemd/system/ollama.service; enabled; vendor preset: enabled)
     Active: active (running) since Mon 2026-07-20 06:00:00 JST; 2h 30min ago

# APIエンドポイントへの疎通確認
$ curl -s http://localhost:11434/api/version
{"version":"0.6.1"}

# 取得済みモデルの一覧確認
$ ollama list
NAME                             ID              SIZE      MODIFIED
llama3.3:70b-instruct-q4_0      a1b2c3d4e5f6    40 GB     2 hours ago
mistral:7b-instruct-q4_K_M      b2c3d4e5f6a7    4.1 GB    3 days ago

# モデルが未取得の場合はpullする（VRAMが8GB程度ならmistral:7b-instruct-q4_K_Mから始める）
$ ollama pull mistral:7b-instruct-q4_K_M
pulling manifest...
pulling f974a74358d6... 100% ▕████████████████▏ 4.1 GB
success

# 過去1時間分のerrレベル以上のログを取得する
$ journalctl -p err -S "1 hour ago" --no-pager -o short-iso

2026-07-20T03:12:05+09:00 srv01 sshd[3901]: error: PAM: Authentication failure for user01
2026-07-20T03:14:22+09:00 srv01 postfix/smtp[4022]: connect to mail.example.com:25: Connection refused
2026-07-20T03:15:01+09:00 srv01 kernel: EXT4-fs error (device sda1): ext4_validate_block_bitmap_csum

# ログをシェル変数に格納（先頭50行に絞る）
LOG_TEXT=$(journalctl -p err -S "1 hour ago" --no-pager -o short-iso 2>/dev/null | head -50)

# JSONエスケープしてOllamaにPOSTする
PROMPT="以下のLinuxサーバーログにあるエラーを、原因と対処案を含めて日本語で3行以内に要約してください:\n${LOG_TEXT}"

curl -s http://localhost:11434/api/generate \
  -H "Content-Type: application/json" \
  -d "{\"model\":\"mistral:7b-instruct-q4_K_M\",\"prompt\":\"${PROMPT}\",\"stream\":false}" \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['response'])"

# Ollama（mistral:7b-instruct-q4_K_M）の応答例
3種類のエラーが確認されます。
(1) sshd の PAM 認証失敗はブルートフォース攻撃の可能性があります。
    fail2ban-client status sshd でブロック状況を確認し、ログイン試行上限を設定することを推奨します。
(2) postfix の SMTP 接続失敗はメール送信先サーバーへの到達不可を示します。
    dig MX mail.example.com でDNS解決を確認し、ファイアウォール設定も見直してください。
(3) ext4-fs のビットマップ検証エラーはディスク異常の前兆の可能性があります。
    smartctl -a /dev/sda で SMART 情報を確認してください。深刻度:高

# スクリプト用ディレクトリを作成する
$ sudo mkdir -p /opt/scripts
$ sudo chown "$(whoami):$(whoami)" /opt/scripts

#!/bin/bash
# log-analyze.sh - Ollamaでerrログを要約してメール通知する

set -euo pipefail

# ---- 設定値（環境に合わせて変更する） ----
OLLAMA_URL="http://localhost:11434/api/generate"
MODEL="mistral:7b-instruct-q4_K_M"
MAIL_TO="admin@example.com"
LOG_LINES=80
TIME_RANGE="8 hours ago"
# ---- 設定値ここまで ----

# エラーログを取得する
LOG_TEXT=$(journalctl -p err -S "${TIME_RANGE}" \
  --no-pager -o short-iso 2>/dev/null | head -${LOG_LINES})

# ログがなければ正常終了する
if [[ -z "${LOG_TEXT}" ]]; then
  echo "[$(date '+%Y-%m-%d %H:%M:%S')] エラーログなし。処理を終了します。"
  exit 0
fi

# プロンプトを組み立てる（改行をJSONエスケープする）
PROMPT_RAW="あなたは10年以上の経験を持つLinuxサーバー管理者です。
以下のエラーログを解析し、次の形式で回答してください。

1. エラーの種類を列挙する
2. 各エラーの深刻度（高/中/低）と推定原因を示す
3. 対処が必要なものは実行可能なコマンドを1つ提示する
回答は日本語で番号付き箇条書きにしてください。
---
${LOG_TEXT}"

ESCAPED_PROMPT=$(printf '%s' "${PROMPT_RAW}" \
  | python3 -c "import sys,json; print(json.dumps(sys.stdin.read()))")

# Ollamaへリクエストを送る
RESPONSE=$(curl -sf "${OLLAMA_URL}" \
  -H "Content-Type: application/json" \
  -d "{\"model\":\"${MODEL}\",\"prompt\":${ESCAPED_PROMPT},\"stream\":false}" \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['response'])")

# メールを送信する
SUBJECT="[LOG-ALERT] $(hostname) - エラーログ要約 $(date '+%Y-%m-%d')"
printf "ホスト: %s\n日時: %s\n\n%s\n" \
  "$(hostname)" "$(date '+%Y-%m-%d %H:%M:%S')" "${RESPONSE}" \
  | mail -s "${SUBJECT}" "${MAIL_TO}"

echo "[$(date '+%Y-%m-%d %H:%M:%S')] 要約メールを送信しました: ${MAIL_TO}"

# 実行権限を付与する
$ chmod 755 /opt/scripts/log-analyze.sh

# 手動で一度実行して動作を確認する
$ /opt/scripts/log-analyze.sh
[2026-07-20 06:00:01] 要約メールを送信しました: admin@example.com

# crontabを編集する
$ crontab -e

# 以下を追記する（毎朝6時にスクリプトを実行してログに記録）
0 6 * * * /opt/scripts/log-analyze.sh >> /var/log/log-analyze.log 2>&1

# 役割指定と出力フォーマットを加えたプロンプト例
あなたは10年以上の経験を持つLinuxサーバー管理者です。
以下のエラーログを解析し、次の形式で回答してください:

【エラー名】sshd 認証失敗
【深刻度】高
【推定原因】ブルートフォース攻撃の可能性
【推奨コマンド】fail2ban-client status sshd
---
${LOG_TEXT}

# サービス別エラーを集計して上位パターンだけ渡す例（sshd関連）
$ journalctl -p err -S "8 hours ago" --no-pager -o short-iso \
  | grep "sshd" | sort | uniq -c | sort -rn | head -10

     42 2026-07-20T03:01:05+09:00 srv01 sshd[3901]: error: PAM: Authentication failure for invalid user admin
     18 2026-07-20T04:22:11+09:00 srv01 sshd[4012]: error: PAM: Authentication failure for user root
      3 2026-07-20T05:00:44+09:00 srv01 sshd[4103]: error: Could not load host key: /etc/ssh/ssh_host_ed25519_key

# 深刻度「高」を含む場合は別途緊急通知を送る（log-analyze.shに追記する）
if echo "${RESPONSE}" | grep -qE "深刻度.*(高|CRITICAL|HIGH)"; then
  printf "[CRITICAL] %s で深刻なエラーを検出\n%s\n" \
    "$(hostname)" "${RESPONSE}" \
    | mail -s "[CRITICAL] 緊急ログアラート $(hostname)" oncall@example.com
fi

# サービスリストを定義して1つずつ処理する例（log-analyze.shに追加する）
SERVICES=("sshd" "postfix" "nginx" "httpd" "kernel")

FULL_REPORT=""
for SERVICE in "${SERVICES[@]}"; do
  LOG_TEXT=$(journalctl -p err -S "${TIME_RANGE}" --no-pager -o short-iso \
    | grep "${SERVICE}" | head -30 2>/dev/null)
  if [[ -z "${LOG_TEXT}" ]]; then
    continue
  fi
  echo "[$(date '+%Y-%m-%d %H:%M:%S')] ${SERVICE} のログを解析中..."

  # 各サービスの解析結果をFULL_REPORTに蓄積する
  # （前述のcurl部分でRESPONSEを取得し、FULL_REPORT="${FULL_REPORT}\n${RESPONSE}" で追記）
done

# num_ctx を指定してコンテキストサイズを増やす例（VRAMに余裕がある場合）
$ curl -s http://localhost:11434/api/generate \
  -H "Content-Type: application/json" \
  -d "{\"model\":\"${MODEL}\",
       \"prompt\":${ESCAPED_PROMPT},
       \"stream\":false,
       \"options\":{\"num_ctx\":8192}}"

# Ollamaプロセスの状態を確認する
$ systemctl status ollama

# 環境変数でポートを変更している場合はoverride.confを確認する
$ cat /etc/systemd/system/ollama.service.d/override.conf
[Service]
Environment="OLLAMA_HOST=0.0.0.0:11435"

# 上記の場合はスクリプト内のOLLAMA_URLを変更する
OLLAMA_URL="http://localhost:11435/api/generate"

# jqをインストールする
$ sudo dnf install jq     # RHEL/AlmaLinux系
$ sudo apt install jq     # Ubuntu/Debian系

# curlの応答からレスポンスを取り出す（jq版）
$ curl -s http://localhost:11434/api/generate \
  -H "Content-Type: application/json" \
  -d "{\"model\":\"mistral:7b-instruct-q4_K_M\",\"prompt\":\"テスト\",\"stream\":false}" \
  | jq -r '.response'

ローカルLLMとLinuxサーバー自動化を2日間のハンズオンで体験する

実際にOllamaをセットアップし、ログ解析スクリプトを構築して実機GPU環境で手を動かしながら習得したい方向けに、「ローカルAIマスターセミナー」を開催しています。
少人数（最大8名）ZOOMハンズオン形式で実施しています。