Ubuntu日志清理频率如何定

Ubuntu日志清理频率的制定原则

• 以风险与成本平衡为目标：业务越关键、审计要求越高，保留周期越长；磁盘越紧张，清理频率越高。
• 双轨治理：用logrotate管理传统文本日志（如 /var/log/syslog），用 journald 的持久化存储上限控制二进制日志（如 /var/log/journal），避免只清一边导致“越清越大”。
• 先设上限，再定频率：先通过容量上限防止失控，再用按天/按大小的轮转与压缩控制日常增长，最后用按需清理兜底。

系统日志 journald 的频率设定

• 设定持久化日志总上限：编辑 /etc/systemd/journald.conf，设置如 SystemMaxUse=1G（也可用 SystemMaxFileSize、MaxRetentionSec 等），然后执行 systemctl restart systemd-journald。这会让 journald 自动在达到上限时清理最旧数据，属于“容量触发的自动清理”，通常无需额外定时任务。建议先用 journalctl --disk-usage 观察当前占用，再设定合理上限。若需要按时间做兜底，可每周执行一次 journalctl --vacuum-time=1week 作为安全网。

传统日志 syslog 等文本日志的频率设定

• 推荐用 logrotate 按“时间或大小”触发轮转，并配合压缩与保留份数。典型做法：
  • 高频业务或日志量大的服务：用 size 触发（如 size 100M），并设 rotate 7 保留最近 7 份，启用 compress 减少占用。
  • 一般业务：用 daily/weekly 周期，并配合 rotate 与 compress。
  • 示例（/etc/logrotate.d/rsyslog，按大小优先，周期兜底）：

    /var/log/syslog
    /var/log/mail.log
    /var/log/kern.log {
        daily
        size 100M
        rotate 7
        compress
        missingok
        notifempty
        create 0640 root adm
    }
    

  • 执行与测试：logrotate 由 /etc/cron.daily/logrotate 每日触发；可先 logrotate -d /etc/logrotate.conf 做 dry-run，再手动执行 logrotate /etc/logrotate.conf 验证。

不同场景的推荐频率与保留策略

实施与验证步骤

• 基线测量：记录当前磁盘与日志占用（如 df -h、journalctl --disk-usage、du -sh /var/log）。
• 配置上限：先设定 /etc/systemd/journald.conf 的 SystemMaxUse 并重启服务，观察一天内是否稳定。
• 配置轮转：在 /etc/logrotate.d/rsyslog 中按上表设置 daily/size、rotate、compress 等，执行 logrotate -d 校验，再手动运行一次确认生成/压缩/清理行为。
• 设定兜底：在 root 的 crontab 中加入每周清理（如 0 2 * * 0 journalctl --vacuum-time=1week），防止异常增长。
• 持续观测：建立每周巡检（占用阈值告警、日志保留是否符合合规），并保留变更记录以便回溯。