日志管理之日志轮替

1、何为日志轮替

日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除。

2、日志轮替文件命名

在centos6中主要使用logrotate进行日志轮替管理，要想改变日志轮替文件名字，主要依靠 /etc/logrotate.conf 配置文件中“dateext”参数：

• 如果配置文件中拥有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如 “secure-20191219”。这样的话日志文件名不会重叠，所以也就不需要日志文件的改名， 只需要保存指定的日志个数，删除多余的日志文件即可。
• 如果配置文件中没有“dateext”参数，那么日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志， 用来保存新的日志。当第二次进行日志轮替时，“secure.1”会自动改名为“secure.2”， 当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。

3、logrotate 配置文件

/etc/logrotate.conf 为 logrotate的全局配置文件

# see "man logrotate" for details
# rotate log files weekly
weekly
# 每周对日志文件进行一次轮替
# keep 4 weeks worth of backlogs
rotate 4
#共保存4份日志文件，当建立新的日志文件时，旧的将会被删除
# create new (empty) log files after rotating old ones
create
#创建新的空的日志文件，在日志轮替后
# use date as a suffix of the rotated file
dateext
# 使用日期作为日志轮替文件的后缀
# uncomment this if you want your log files compressed
#compress
# 日志文件是否压缩。如果取消注释，则日志会在转储的同时进行压缩
# RPM packages drop log rotation information into this directory
include /etc/logrotate.d
# 包含 /etc/logrotate.d/ 目录中所有的子配置文件。也就 是说会把这个目录中所有子配置文件读取进来， 

#下面是单独设置，优先级更高。
# no packages own wtmp and btmp -- we'll rotate them here
/var/log/wtmp { 
    monthly # 每月对日志文件进行一次轮替 
    create 0664 root utmp # 建立的新日志文件，权限是 0664 ，所有者是 root ，所属组是 utmp 组         
    minsize 1M   # 日志文件最小轮替大小是 1MB 。也就是日志一定要超过 1MB 才会轮替，否则就算时间达到一个月，也不进行日志转储 
    rotate 1 # 仅保留一个日志备份。也就是只有 wtmp 和 wtmp.1 日志保留而已
} 

/var/log/btmp {
    missingok # 如果日志不存在，则忽略该日志的警告信息
    monthly
    create 0600 root utmp
    rotate 1
}

# system-specific logs may be also be configured here.

4、参数说明

参  数                      参  数  说  明 
daily                    日志的轮替周期是每天 
weekly                   日志的轮替周期是每周 
monthly                  日志的轮替周期是每月 
rotate 数字              保留的日志文件的个数。0 指没有备份 
compress                 日志轮替时，旧的日志进行压缩 
create mode owner group  建立新日志，同时指定新日志的权限与所有者和所属组。 
mail address             当日志轮替时，输出内容通过邮件发送到指定的邮件地址。
missingok                如果日志不存在，则忽略该日志的警告信息 
notifempty               如果日志为空文件，则不进行日志轮替 
minsize 大小             日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替 
size 大小                日志只有大于指定大小才进行日志轮替，而不是按照时间轮替。 
dateext                  使用日期作为日志轮替文件的后缀。
sharedscripts            在此关键字之后的脚本只执行一次。 
prerotate/endscript      在日志轮替之前执行脚本命令。
postrotate/endscript     在日志轮替之后执行脚本命令。

配置示例

 /var/log/httpd/*.log {   # 日志轮替的是 /var/log/httpd/ 中 RPM 包安装的 apache 的所有日志            
      rotate 5    # 轮替 5 次                       
      size 100k    # 日志大于 100KB 时才进行日志轮替，不再按照时间轮替            
      sharedscripts    # 以下脚本只执行一次            
      postrotate    # 在日志轮替结束之后，执行以下脚本                
        /usr/bin/killall -HUP httpd     # 重启 apache 服务            
      endscript    # 脚本结束       
 }

prerotate 和 postrotate 主要用于在日志轮替的同时，执行指定的脚本，一般用于日志轮替之后重启服务。这里强调，如果你的日志是写入 rsyslog 服务的配置文件的，那么把新日志加入 logrotate 后，一定要重启 rsyslog 服务，否则你会发现虽然新日志建立了，但是数据还是写入了旧的日志当中。 那是因为虽然 logrotate 知道日志轮替了，但是 rsyslog 服务却并不知道。同理，如果你的日志不是 被 rsyslog 管理，如源码包安装的 Apache、Nginx 等服务，则需要重启 Apache 或 Nginx 服务，否则 日志也不能正常轮替。

5、把自己的日志加入日志轮替

这里有两个方法：
第一种方法是直接在/etc/logrotate.conf 配置文件中写入该日志的轮替策略， 从而把日志加入轮替；
第二种方法是在/etc/logrotate.d/目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被“include”到主配置文件中，所以也可以把日志加入轮替。我们这里推荐使用第二种方法，因为系统中需要轮替的日志非常多，如果全都直接写 入/etc/logrotate.conf 配置文件，那么这个文件的可管理性就会非常差，不利于此文件的维护。
在/etc/logrotate.d/已经有一些文件了

[root@centos ~]# ls /etc/logrotate.d/
ConsoleKit  cups  dracut  httpd  mcelog  numad  psacct  sssd  syslog  yum

下面是两个示例

我们对 /var/log/messages 进行日志轮替配置
[root@localhost ~]# vim /etc/logrotate.d/messages # 创建 messages 轮替文件。添加以下代码。
/var/log/messages {         
     daily           #每天轮替一次         
    rotate 10        #保留 10 个轮替日志         
    sharedscripts    #以下命令只执行一次
    postrotate       #在日志轮替之后执行                 
        /bin/kill -HUP $(/bin/cat /var/run/syslogd.pid 2>/dev/null) &>/dev/null         
    endscript       #重启 rsyslog 服务，保证日志轮替正常 
}  

我们如果需要把 Nginx 服务的日志加入日志轮替
[root@localhost ~]# vim /etc/logrotate.d/nginx   # 创建 nginx 轮替文件。添加以下代码
/opt/nginx/logs/access.log /opt/nginx/logs/error.log { 
     daily  
     rotate 15  
     sharedscripts  
     postrotate         
        /bin/kill -HUP $(/bin/cat /var/run/syslogd.pid) &>/dev/null   #重启 rsyslog 服务         
        /bin/kill -HUP $(/bin/cat /opt/nginx/logs/nginx.pid) &>/dev/null   #重启 Nginx 服务  
    endscript 
} 

6、logrotate 命令

我们日志轮替之所以可以在指定的时间备份日志，其实也要依赖系统定时任务。如果大家还记得 /etc/cron.daily/目录，就会发现这个目录中是有 logrotate 文件，logrotate 通过这个文件依赖定时任务执行的。

[root@centos ~]# ls /etc/cron.daily/
cups  logrotate  makewhatis.cron  mlocate.cron  prelink  readahead.cron  tmpwatch

命令如下

[root@centos ~]# logrotate [选项] 配置文件名 
选项：  如果此命令没有选项，则会按照配置文件中的条件进行日志轮替  
-v： 显示日志轮替过程。加了-v 选项，会显示日志的轮替的过程  
-f： 强制进行日志轮替。不管日志轮替的条件是否已经符合，强制配置文件中所有的日志进行轮替。

我们使用 *logrotate -vf /etc/logrotate.conf * 执行所有的论轮替任务
查看我们刚才设置的nginx目录，已经多了轮替文件

[root@centos logs]# ls /opt/nginx/logs/
access.log  access.log-20191219  error.log  error.log-20191219  nginx.pid