配置 Systemd 日志限制：优化磁盘使用率和日志轮转

配置 Systemd Journal 限制：优化磁盘使用和日志轮转

高效的系统日志记录是 Linux 系统管理的一个关键方面，它提供了用于故障排除、审计和性能分析的必要历史数据。在利用 Systemd 的现代 Linux 发行版中，日志管理由集中式日志服务 systemd-journald 处理。

虽然 systemd-journald 与传统的基于文本的日志文件（如 rsyslog 管理的日志）相比，提供了卓越的性能和索引功能，但不受控制的日志增长会迅速占用大量磁盘空间，可能导致系统不稳定或性能下降。本指南将提供一个专家级的 walkthrough，介绍如何基于大小和时间配置日志限制，实施轮转策略，以及管理存储选项，以确保最佳的磁盘使用。

理解 Journal 存储模式

在设置限制之前，了解 journal 存储其日志的位置至关重要。systemd-journald 支持两种主要的存储模式，由 journald.conf 中的 Storage= 指令定义。

1. 易失性存储（`/run/log/journal`）

易失性存储将日志保存在临时文件系统中，通常是 tmpfs 或内存支持的目录。存储在这里的日志在系统重启后会丢失。

使用场景： 高度临时的日志，资源受限的环境，不需要持久的历史记录。
配置： 设置 Storage=volatile。

2. 持久性存储（`/var/log/journal`）

持久性存储确保日志在系统重启后仍然存在，使其成为服务器和生产系统的标准选择。如果 /var/log/journal 目录不存在，则会创建它。

使用场景： 需要审计跟踪和历史分析的生产系统。
配置： 设置 Storage=persistent 或 Storage=auto（默认值，如果 /var/log/journal 存在，则激活持久性存储）。

提示： 如果系统配置为 Storage=auto 且 /var/log/journal 不存在，则日志将默认为易失性存储，直到创建持久性目录为止。

主要配置文件

systemd-journald 的所有主要限制和行为都通过主配置文件进行控制，该文件通常位于 /etc/systemd/journald.conf。

# 编辑主配置文件
sudo nano /etc/systemd/journald.conf

为确保将来的软件包更新不会覆盖您的自定义设置，最佳做法是在 /etc/systemd/journald.conf.d/ 目录下创建一个覆盖文件。例如，创建 /etc/systemd/journald.conf.d/01-custom-limits.conf。

实施大小限制以优化磁盘

控制 journal 增长最常见的方法是设置最大磁盘使用限制。当超过指定大小时，journald 会自动开始删除最旧的归档日志，直到达到限制为止。

SystemMaxUse（绝对持久性限制）

此指令定义了持久性 journal 文件（/var/log/journal）可以占用的最大总磁盘空间。这是控制持久性磁盘使用量的主要机制。

如果总大小超过此值，Journal 文件将被轮转和清理。常用单位包括 K（千字节）、M（兆字节）、G（千兆字节）和 T（太字节）。

指令	描述	示例值
`SystemMaxUse`	持久性 journal 数据的最大大小。	`500M` 或 `2G`

配置示例：

将持久性 journal 存储限制为最大 1 GB：

[Journal]
SystemMaxUse=1G

SystemKeepFree（磁盘安全缓冲区）

虽然 SystemMaxUse 设置了一个上限，但 SystemKeepFree 充当了重要的安全措施。它指定了包含 journal 文件的文件系统上应保留的最小可用磁盘空间量。

如果可用空间下降到 SystemKeepFree 值以下，journald 将清理日志，即使 SystemMaxUse 限制尚未达到。这可以防止日志增长完全填满磁盘并停止关键系统操作。

指令	描述	示例值
`SystemKeepFree`	Journal 文件系统上所需的最小可用空间。	`10%` 或 `4G`

最佳实践： 强烈建议同时设置 SystemMaxUse 和 SystemKeepFree。对于大型驱动器，请使用百分比（%）作为 SystemKeepFree 的值，以获得更好的可伸缩性。

RuntimeMaxUse（易失性存储限制）

如果您正在使用易失性存储（/run/log/journal），或者即使启用了持久性存储，您也对控制内存/tmpfs 使用量感兴趣，请使用 RuntimeMaxUse。这控制了易失性 journal 文件使用的磁盘空间，这些文件是临时的，并且存在于内存或 tmpfs 中。

指令	描述	示例值
`RuntimeMaxUse`	易失性 journal 数据的最大大小。	`300M`

实施时间限制以进行日志保留

基于大小的限制可确保磁盘空间得到维护，但它们不能保证日志的年龄。如果日志量较低，日志可能会无限期地保留。基于时间的限制可确保日志在特定持续时间后被轮转出去，而不管总大小如何。

MaxRetentionSec

此指令指定应保留日志的最长时间。任何比此持续时间更旧的日志都将被自动清除，作为大小限制的补充。

指令	描述	示例值
`MaxRetentionSec`	要保留的日志的最大年龄。	`30 days`，`1 month`，`2 weeks`

配置示例：

确保日志永远不会超过 30 天，并且持久性存储总大小不超过 5 GB：

[Journal]
Storage=persistent
SystemMaxUse=5G
SystemKeepFree=10%
MaxRetentionSec=30 days

注意： 如果 MaxRetentionSec 设置为 30 天，而 SystemMaxUse 设置为 5G，则 journald 将遵循首先达到的限制。如果 10 天内达到 5G 限制，则会清除超过 10 天的日志，覆盖 30 天的保留策略。

实践步骤：应用和验证配置

1. 检查当前 Journal 使用情况

在进行更改之前，请检查 journal 当前的磁盘使用情况：

journalctl --disk-usage

示例输出：

Journals take up 3.4G of disk space.

2. 配置限制

编辑 /etc/systemd/journald.conf（或您的覆盖文件）并取消注释/设置所需的指令。例如，要确保最大使用量为 500MB，保留期为 30 天：

[Journal]
Storage=persistent
SystemMaxUse=500M
SystemKeepFree=1G
MaxRetentionSec=30 days

3. 重启 Journal 服务

要使更改生效，必须重启 systemd-journald 服务。这不会影响活动日志记录，但它会告诉守护进程立即应用新的大小限制并开始清理过程。

sudo systemctl restart systemd-journald

4. 手动强制清理

如果需要根据新限制立即回收磁盘空间，服务重启通常就足够了。或者，您可以使用 journalctl 显式清理文件。

清理日志以回收空间，只保留最后 500MB：

sudo journalctl --vacuum-size=500M

清理超过 7 天的日志：

sudo journalctl --vacuum-time=7d

主要指令摘要

指令	范围	目的
`Storage`	全局	定义存储位置（持久性、易失性、自动）。
`SystemMaxUse`	持久性（`/var/log/journal`）	持久性日志的绝对最大总大小。
`SystemKeepFree`	持久性（`/var/log/journal`）	确保保留最少量的可用磁盘空间。
`RuntimeMaxUse`	易失性（`/run/log/journal`）	易失性（运行时）日志的绝对最大总大小。
`MaxRetentionSec`	两者	定义要保留日志的最大年龄。

结论

优化 systemd-journald 限制是长期系统健康的必备步骤，尤其是在日志量大或磁盘资源有限的环境中。通过审慎设置 SystemMaxUse 和 MaxRetentionSec，管理员可以在维护全面的历史数据和防止日志蔓延之间取得平衡，从而确保稳定的系统性能和可管理的磁盘利用率。