ubuntu日志清理最佳实践是什么

Ubuntu日志清理最佳实践

一 核心原则

• 预防优先：通过合理的日志级别与logrotate策略，避免日志无限增长。
• 安全清理：优先使用系统工具（如journalctl、logrotate）而非粗暴删除文件，减少对正在运行服务的影响。
• 可观测性：清理前先定位大日志与异常输出，必要时先备份关键时段日志。
• 自动化与监控：将清理与轮转纳入日常运维，设置告警与定期复核策略有效性。

二 快速排查与定位

• 查看整体磁盘与日志占用：
  • 磁盘空间：df -h
  • 目录占用：du -sh /var/log，或定位大文件：du -sh * | sort -rh | head -10
• 查看 systemd 日志占用与内容：
  • 占用：sudo du -sh /var/log/journal
  • 最近日志：journalctl -n 100
  • 按时间倒序：journalctl -r
  • 导出关键时段日志（备份）：journalctl --since “2025-11-20” --until “2025-11-21” > /home/backup/journal_20251120-21.log
• 查看传统文本日志：/var/log/syslog、/var/log/auth.log、/var/log/kern.log 等，可用 tail/less 检索。

三 安全清理步骤

• 清理 systemd 日志（journald）
  • 先轮转再清理，避免大文件句柄问题：sudo journalctl --rotate
  • 按时间保留（推荐）：sudo journalctl --vacuum-time=2weeks（可用 7days、1month、24h 等）
  • 按大小保留（空间紧张时）：sudo journalctl --vacuum-size=500M
• 清理 /var/log 下轮转与压缩的旧日志
  • 删除已压缩与数字轮转文件：find /var/log -type f ( -name “.gz" -o -name ".[0-9]” ) -delete
  • 谨慎处理正在写入的活跃日志：如需清空内容，使用 sudo truncate -s 0 /var/log/syslog（保留 inode 与句柄），或交由 logrotate 处理
• 清理临时文件
  • sudo rm -rf /tmp/*（确保无进程占用）
• 清理 APT 缓存（非日志，但常一并释放空间）
  • sudo apt-get clean && sudo apt-get autoclean
• 验证效果
  • 再次检查：df -h、du -sh /var/log/journal，确认空间已回收。

四 长期治理与自动化

• 配置 journald 持久化与保留策略
  • 创建配置：sudo mkdir -p /etc/systemd/journald.conf.d && sudo nano /etc/systemd/journald.conf.d/99-custom.conf
  • 建议参数：
    • SystemMaxUse=500M
    • MaxRetentionSec=2week
    • MaxFileSize=100M
  • 生效：sudo systemctl restart systemd-journald
• 配置 logrotate（系统与应用日志）
  • 全局或应用配置示例（/etc/logrotate.d/rsyslog 或应用专属文件）：
    • /var/log/syslog {
      • daily
      • rotate 7
      • compress
      • delaycompress
      • missingok
      • notifempty
      • create 640 root adm
      • postrotate
        • /usr/lib/rsyslog/rsyslogd reload > /dev/null
      • endscript
    • }
  • 强制测试：sudo logrotate -f /etc/logrotate.conf
  • 运行机制：通常通过 /etc/cron.daily/logrotate 每日执行，可查看状态：cat /var/lib/logrotate/status
• 调整日志级别以减少噪声
  • 编辑 /etc/rsyslog.conf 或 /etc/rsyslog.d/50-default.conf，例如将 *.info 调整为 *.warning 以降低记录级别（变更前评估对审计与排障的影响）。

五 注意事项与推荐阈值

• 操作要点
  • 避免使用 rm -f /var/log/syslog 直接删除活跃日志，优先使用 truncate 或交由 logrotate；清理前先备份关键时段日志；清理 /tmp 前确认无进程占用。
• 推荐阈值（可按业务调整）
  • journald：SystemMaxUse=500M、MaxRetentionSec=2weeks、MaxFileSize=100M
  • rsyslog：daily 轮转、rotate 7、compress、delaycompress
  • APT 缓存：定期 clean/autoclean，避免无限制累积。