O registro do sistema Linux mudou com a introdução do systemd. Aprenda a usar o comando journalctl para ler e filtrar mensagens de log do sistema.
últimas postagens
Extração Centralizada
Conhecedor da controvérsia, o sistema systemd e o gerenciador de serviços introduziram uma mudança significativa na forma como os logs do sistema são reunidos. Os logs costumavam estar localizados em locais diferentes no sistema de arquivos de acordo com o serviço ou daemon que os estava criando. Mas todos eles tinham uma coisa em comum. Eles eram arquivos de texto simples.
Com o systemd, todos os arquivos de log do sistema, inicialização e kernel são coletados e gerenciados por uma solução de log central e dedicada. O formato em que são armazenados é binário. Uma coisa que isso facilita é poder extrair os dados em diferentes formatos, como JSON, como veremos.
também pode facilitar a referência cruzada de informações relacionadas que teriam sido gravadas anteriormente em arquivos de log separados. Como os dados agora são mantidos em um único diário, os dados de várias fontes de interesse podem ser selecionados e exibidos em uma única lista entrelaçada de entradas.
journalctl é a ferramenta costumava trabalhar com o jornal.
journalctl sem frescuras
Você pode invocar o journalctl sem parâmetros de linha de comando:
journalctl
journalctl exibe o diário inteiro, com as entradas mais antigas no topo da lista. A lista é exibida em menos, permitindo que você pague e pesquise usando os recursos de navegação usuais de menos. Você também pode usar as teclas de seta para a esquerda e seta para a direita para rolar para os lados e ler entradas de registro extensas.
Pressionar a tecla End irá pular direto para o final da lista e as entradas de registro mais recentes.
Pressione Ctrl + C para sair.
Embora journalctl possa ser chamado sem usar sudo, você garantirá que verá todos os detalhes dentro do log se você usar sudo.
sudo journalctl
Se necessário, você pode fazer o journalctl enviar sua saída para a janela do terminal em vez de para less, usando a opção –no-pager.
sudo journalctl --no-pager
A saída rola rapidamente pela janela do terminal e você retorna ao prompt de comando.
Para limitar o número de linhas que o journalctl retorna, use a opção -n (linhas). Vamos pedir dez linhas de saída:
sudo journalctl -n 10
Seguindo as atualizações do diário
Para fazer o journalctl exibir as entradas mais recentes conforme elas chegam no diário, use a opção -f (seguir).
sudo journalctl -f
A entrada mais recente tem um carimbo de data / hora de 07:09:07. Conforme uma nova atividade ocorre, as novas entradas são anexadas na parte inferior da tela. Atualizações quase em tempo real – legal!
Às 07:09:59, um aplicativo chamado geek-app injetou uma entrada de registro no diário que dizia: “Nova mensagem de HTG”.
Mudando o formato de exibição
Como o diário é um arquivo binário, os dados nele precisam ser traduzidos ou analisados em texto antes que possam ser exibidos para você. Com diferentes analisadores, diferentes formatos de saída podem ser criados a partir dos mesmos dados de origem binária. Existem vários formatos diferentes que o journalctl pode usar.
A saída padrão é o formato curto, que é muito semelhante ao formato de log do sistema clássico. Para solicitar explicitamente o formato curto, use a opção -o (saída) com o modificador curto.
sudo journalctl -n 10 -o short-full
Da esquerda para a direita, os campos são:
A hora em que a mensagem foi criada, na hora local.
O nome do host.
O nome do processo. Este é o processo que gerou a mensagem.
A mensagem de log.
Para obter um carimbo de data e hora completo, use o modificador short-full:
sudo journalctl -n 10 -o short-full
Os formatos de data e hora nesta saída são o formato no qual você precisa fornecer datas e horas ao selecionar mensagens de log por período, como veremos em breve.
Para ver todos os metadados que acompanham cada mensagem de log, use o modificador detalhado.
sudo journalctl -n 10 -o verbose
Lá são muitos campos possíveis, mas é raro que todos os campos estejam presentes em uma mensagem.
Um campo que vale a pena discutir é o campo Prioridade. Neste exemplo, ele tem o valor 6. O valor representa a importância da mensagem:
0: Emergência. O sistema está inutilizável.
1: Alerta. Foi sinalizada uma condição que deve ser corrigida imediatamente.
2: Crítico. Isso cobre travamentos, descargas elétricas e falhas significativas em aplicativos primários.
3: Erro. Um erro foi relatado, mas não é considerado grave.
4: Aviso. Chama a atenção para uma condição que, se ignorada, pode se tornar um erro.
5: Observe. Usado para relatar eventos incomuns, mas não erros.
6: Informações. Mensagens operacionais regulares. Isso não requer ação.
7: Depurar. Mensagens colocadas em aplicativos para facilitar a depuração deles.
Se você deseja que a saída seja apresentada de forma adequada JavaScript Object Notation Objetos (JSON), use o modificador json:
sudo journalctl -n 10 -o json
Cada mensagem é devidamente agrupada como um objeto JSON bem formado e exibida uma mensagem por linha de saída.
Para ter a saída JSON lindamente impresso, use o modificador json-pretty.
sudo journalctl -n 10 -o json-pretty
Cada objeto JSON é dividido em várias linhas, com cada par nome-valor em uma nova linha.
Para ver apenas as mensagens de entrada de registro, sem carimbos de data / hora ou outros metadados, use o modificador cat:
sudo journalctl -n 10 -o cat
Esse formato de exibição pode dificultar a identificação de qual processo gerou o evento de log, embora algumas mensagens contenham uma pista.
Seleção de mensagens de registro por período de tempo
Para limitar a saída do journalctl a um período de tempo no qual você está interessado, use as opções -S (since) e -U (until).
Para ver as entradas de registro desde uma determinada hora e data, use este comando:
sudo journalctl -S "2020-91-12 07:00:00"
O display contém apenas mensagens que chegaram após a data e hora do comando.
Para definir um período de tempo que você deseja relatar, use as opções -S (desde) e -U (até) juntas. Este comando analisa as mensagens de log de um período de 15 minutos:
sudo journalctl -S "2020-91-12 07:00:00" -U "2020-91-12 07:15:00"
Esta é uma ótima combinação de uso se você souber que algo estranho aconteceu em seu sistema, e mais ou menos quando aconteceu.
Usando períodos de tempo relativos
Você pode usar o endereçamento relativo ao selecionar seus períodos de tempo. Isso significa que você pode dizer coisas como “mostre-me todos os eventos de um dia atrás até agora”. Isso é exatamente o que este comando significa. O “d” significa “dia” e o “-1” significa um dia no passado.
sudo journalctl -S -1d
As mensagens de registro são listadas de 00:00:00 de ontem até “agora”.
Se quiser investigar algo que aconteceu no passado recente, você pode especificar um período de tempo relativo medido em horas. Aqui, estamos revisando as mensagens de registro da última hora:
sudo journalctl -S -1h
As mensagens da última hora são exibidas para você. Você também pode usar “m” para definir períodos de tempo relativos medidos em minutos e “w” para semanas.
journalctl entende hoje, ontem e amanhã. Esses modificadores fornecem uma maneira prática de especificar períodos de tempo comuns. Para ver todos os eventos que aconteceram ontem, use este comando:
sudo journalctl -S yesterday
Todos os eventos de registro de diário que aconteceram ontem, até meia-noite 00:00:00, são recuperados e exibidos para você.
Para ver todas as mensagens de log recebidas hoje até agora, use este comando:
sudo journalctl -S today
Tudo a partir de 00:00:00 até o momento em que o comando é emitido, são exibidos.
Você pode misturar os diferentes modificadores de período de tempo. Para ver tudo de dois dias atrás até o início de hoje, use este comando:
sudo journalctl -S -2d -U today
Tudo, desde anteontem até hoje, é recuperado e exibido.
Seleção de mensagens de registro por campos de dados
Você pode pesquisar mensagens de log que correspondem a uma ampla gama de campos do diário. Essas pesquisas tentam encontrar correspondências nos metadados anexados a cada mensagem. É recomendado que você consulte a lista de campos e escolha aqueles que serão mais úteis para você.
Lembre-se de que o preenchimento de todos os campos de um aplicativo ou não depende inteiramente dos autores do aplicativo. Você não pode garantir que todos os campos serão preenchidos.
Todos os modificadores de campo de diário são usados da mesma maneira. Usaremos alguns em nossos exemplos abaixo. Para procurar mensagens de log de um aplicativo específico, use o modificador _COMM (comando). Se você também usar a opção -f (seguir), o journalctl rastreará as novas mensagens deste aplicativo conforme elas chegam.
sudo journalctl -f _COMM=geek-app
Você pode pesquisar por entradas de registro usando o ID do processo do processo que gerou a mensagem de log. Use o comando ps para encontrar a id do processo do daemon ou aplicativo que você vai procurar.
sudo journalctl _PID=751
Na máquina usada para pesquisar este artigo, o SSH daemon é o processo 751.
Você também pode pesquisar por ID do usuário. Este é o ID do usuário para a pessoa que iniciou o aplicativo ou comando, ou que possui o processo.
sudo journalctl _UID=1000
Todas as mensagens associadas a qualquer outro ID de usuário são filtradas. Apenas mensagens relacionadas ao usuário 1000 são mostradas:
Outra forma de pesquisar mensagens de log relacionadas a um aplicativo específico é fornecer o caminho para o executável.
sudo journalctl /usr/bin/anacron
Todo o anacron as mensagens de log do planejador são recuperadas e exibidas.
Para tornar a pesquisa mais fácil, podemos pedir ao journalctl para listar todos os valores que contém, para qualquer um dos campos do diário.
Para ver os IDs do usuário para os quais o journalctl gravou mensagens de log, use a opção -F (campos) e passe o identificador de campo _UID.
journalctl -F _UID
Vamos fazer isso de novo e olhar para o IDs de grupo (GID’s):
journalctl -F _GID
Você pode fazer isso com qualquer um dos identificadores de campo de jornal.
Listando Mensagens do Kernel
Existe uma maneira embutida de isolar as mensagens do kernel rapidamente. Você não precisa procurá-los e isolá-los. A opção -k (kernel) remove todas as outras mensagens e oferece uma visão instantânea das entradas de log do kernel.
sudo journalctl -k
O destaque reflete a importância da mensagem, de acordo com os valores do campo Prioridade.
Revisão de mensagens de inicialização
Se você tiver um problema relacionado à inicialização que deseja investigar, o journalctl o ajudará. Talvez você tenha adicionado um novo hardware e ele não esteja respondendo ou um componente de hardware que funcionava anteriormente não funcione mais após a última atualização do sistema.
Para ver as entradas de registro relacionadas à sua última inicialização, use a opção -b (inicialização):
journalctl -b
As entradas de log da última inicialização são mostradas para você.
Quando dizemos “última inicialização”, queremos dizer o processo de inicialização que deu vida ao seu computador para a sua sessão de login atual. Para ver inicializações anteriores, você pode usar um número para informar ao journalctl em qual inicialização você está interessado. Para ver a terceira inicialização anterior, use este comando:
journalctl -b 3
Geralmente, se você teve um problema e teve que reinicializar sua máquina, você está interessado em uma sequência de inicialização anterior. Portanto, este é um formulário de comando comum.
É fácil se confundir com a sequência de botas. Para ajudar, podemos pedir ao journalctl para listar as botas que ele registrou em seu diário, usando a opção –list-boots.
journalctl --list-boots
Você pode identificar a inicialização para a qual deseja ver mensagens a partir do carimbo de data e hora e, em seguida, usar o número na coluna da esquerda para obter as mensagens de log dessa sequência de inicialização. Você também pode escolher o identificador de inicialização de 32 bits e passá-lo para o journalctl.
sudo journalctl -b 1f00248226ed4ab9a1abac86e0d540d7
As mensagens de log da sequência de inicialização que solicitamos são recuperadas e exibidas.
Gerenciando o espaço do disco rígido do Journal
Obviamente, o diário e todas as suas mensagens de log são armazenados no disco rígido. Isso significa que eles ocuparão espaço no disco rígido. Para ver quanto espaço foi ocupado pelo diário, use a opção –disk-usage.
journalctl --disk-usage
Com os discos rígidos de hoje, 152 MB não é muito espaço, mas para fins de demonstração, ainda vamos reduzi-lo. Há duas maneiras de fazermos isso. A primeira é definir um limite de tamanho para o qual você deseja que o diário seja reduzido de volta. Ele crescerá novamente, é claro, mas podemos podá-lo agora, prontos para esse novo crescimento.
Usaremos a opção –vacuum-size maravilhosamente intitulada, e passaremos o tamanho para o qual gostaríamos que o diário fosse reduzido. Pediremos 100 MB. A maneira de pensar sobre isso é que estamos pedindo ao journalctl para “jogar fora o que você puder, mas não vá abaixo de 100 MB”.
journalctl --vacuum-size=100M
A outra maneira de reduzir o tamanho do diário é usar a opção –vacuum-time. Esta opção diz ao journalctl para descartar as mensagens mais antigas do que o período que você forneceu na linha de comando. Você pode usar dias, semanas, meses e anos no período.
Vamos eliminar todas as mensagens com mais de uma semana:
journalctl --vacuum-time=1weeks
Dados vs. Informação
Os dados não são úteis, a menos que você possa obtê-los e usá-los. Então, torna-se uma informação útil. O comando journalctl é uma ferramenta flexível e sofisticada que permite obter as informações de interesse de várias maneiras.
Você pode usar praticamente qualquer fragmento de informação de que precisa para localizar as mensagens de log de que precisa.