システム関係のログファイルは、必ず /var/log ディレクトリ内に存在しています。下記の一覧には、 openSUSE Leap 既定のインストール後の環境に現れる、全てのシステムログファイルを示しています。もちろん追加のソフトウエアをインストールすることで、 /var/log には下記に示していない様々なログファイルが作成されます。また、ファイルやディレクトリによっては 「プレースホルダ」 として用意されるだけで、実際に対応するアプリケーションをインストールしないと、使用されないものもあります。さらに、ほとんどのログファイルは root でないと読むことができません。

ログファイルを表示したい場合は、任意のテキストエディタをお使いいただくことができます。それ以外にも、 YaST コントロールセンターから その他 › システムログ と選択していくことで、ログを閲覧するためのシンプルな YaST モジュールを起動することもできます。

テキストコンソールでログファイルを閲覧したい場合は、 less や more のコマンドを使用します。それ以外にも、 head や tail コマンドを使用することで、ログの冒頭や末尾だけを表示することもできます。ログファイルに追記される内容をリアルタイムに読みたい場合は、 tail -f コマンドをお使いください。これらのツールの使用方法について、詳しくはそれぞれのマニュアルページをお読みください。

特定の文字列や正規表現を指定してログ内を検索したい場合は、 grep ツールをお使いください。また、 awk を使用することで、ログファイルの処理や書き換えなどを行うこともできます。

/var/log 以下にあるログファイルは日々増えていくもので、容易に巨大化してしまいます。 logrotate はそのようなログファイルを管理することができるツールです。ログファイルを自動的にローテーション (新しいログファイルへの切り替え) したり、削除や圧縮、メール送信などを行ったりすることができます。ログファイルは定期的 (毎日, 毎週, 毎月など) に処理することができるほか、特定のサイズに達した際に実行することもできます。

logrotate は systemd によって毎日起動されるようになっているため、ログファイルに対する処理は毎日 1 回実行されます。しかしながら、一定のサイズを超過した場合に発動するように設定している場合や、 --force オプションを指定したりしたような場合は、それ以上に実行することもできます。それぞれのファイルをどのタイミングで直近にローテーションしたいのかを確認するには、 /var/lib/misc/logrotate.status ファイルをご覧ください。

logrotate におけるメインとなる設定ファイルは、 /etc/logrotate.conf です。システムパッケージやシステムプログラムによっては、独自のログファイルを生成するものがあります (たとえば apache2 ) が、その場合はそれらのログファイルに対応する設定を /etc/logrotate.d/ ディレクトリ内に配置します。 /etc/logrotate.d/ 内の設定は、 /etc/logrotate.conf から取り込むように設定します。

# 詳しくは "man logrotate" で表示されるマニュアルページをお読みください
# 毎週ログファイルをローテーションする指定
weekly

# 4 週分までを保管する設定
rotate 4

# 古いログファイルをローテーションした場合、新しい (空の) ログファイルを作成する指定

# ローテーションしたファイルに対して、ファイル名の末尾に日付を付与する指定
dateext

# ログファイルを圧縮したい場合は、下記の行のコメント文字を削除してください

# gzip など、他の圧縮形式を使用したい場合は、下記 2 行をコメントアウトしてください
compresscmd /usr/bin/bzip2
uncompresscmd /usr/bin/bunzip2

# RPM パッケージによっては、下記のディレクトリ内に設定ファイルを配置するものがあります
include /etc/logrotate.d

重要: パーミッションの矛盾回避について

create オプションを使用する場合は、 /etc/permissions* で指定することのできるファイルのモードと所有者に注意する必要があります。これらの設定を変更している場合は、矛盾が起こらないように設定してください。

logwatch はカスタマイズ可能でプラグインにも対応した、ログ監視スクリプトです。システムログを分析して重要な情報を抽出し、必要であれば人間にとってよりやすい形式で報告します。 logwatch コマンドを使用するには、 logwatch パッケージをインストールしてください。

logwatch はコマンドラインで直接実行することで、その場でレポートを生成することができるほか、 cron 等を利用することで、定期的に独自のレポートを生成することもできます。レポートは画面に表示することができるほか、ファイルに保存したり特定のアドレスにメールを送信したりすることもできます。特にメール送信については、 cron などでレポートを自動生成しているような場合に便利な仕組みです。

コマンドラインを使用することで、 logwatch がレポートを生成すべきサービスの種類や時間範囲のほか、情報の細かさを指定することもできます:

# 昨日からの全てのカーネルメッセージを含む詳細レポートの生成
logwatch --service kernel --detail High --range Yesterday --print

# アーカイブされたものを含め、全ての sshd のイベントを含む詳細レポートを生成
logwatch --service sshd --detail Low --range All --archives --print

# 2005 年 5 月 5 日から 5 月 7 日までの全ての smartd のメッセージのレポートを、
# root@localhost 宛にメールで送信
logwatch --service smartd --range 'between 5/5/2005 and 5/7/2005' \
--mailto root@localhost --print

--range オプションは複雑な書式になっています。詳しくは logwatch --range help で表示されるヘルプをお読みください。また、問い合わせに使用できる全てのサービスを一覧で表示するには、下記のように入力して実行してください:

> ls /usr/share/logwatch/default.conf/services/ | sed 's/\.conf//g'

logwatch は非常に詳しくカスタマイズすることができます。しかしながら、通常は既定値の設定のままで十分です。既定の設定ファイルは /usr/share/logwatch/default.conf/ 以下に書かれています。ただし、このディレクトリ内に存在するファイルは、パッケージの更新の際に上書きされてしまう設定になっていますので、変更は行わないでください。カスタマイズを行いたい場合は、 /etc/logwatch/conf/ 内に設定を書き込んでください (既定で配置される設定ファイルを雛形としてお使いください) 。 logwatch のカスタマイズ方法について、詳しくは /usr/share/doc/packages/logwatch/HOWTO-Customize-LogWatch (英語のみ) をお読みください。具体的には、下記の設定ファイルが存在しています:

システムデーモンや cron ジョブ、 systemd タイマーなどのアプリケーションは、システム内の root に対してメールを送信することがあります。また、既定ではそれぞれのユーザに対してローカルのメールボックスが作成され、ログイン時にメールの到着を知らせます。

これらのアプリケーションが送信するメッセージには、システム管理者が即時に対応しなければならないセキュリティレポートやインシデント報告などが含まれる場合があります。このような緊急性の高いメールに素早く気付くことができるよう、これらのメールを各担当者のメールアドレスに転送しておくことを強くお勧めします。

なお、管理対象のマシン数とシステムイベントの通知先となる担当者数によって、様々な配信形態が考えられます:

ただし、それぞれの担当者が定期的にメールをチェックしていることが何よりも重要です。このような取り組みを促して重要なイベントを見落とさないようにするため、不必要な情報は送信しないように設定しておくことも重要です。また、アプリケーション側の設定で、関連する情報のみを送信するようにもしておいてください。

システムログに記録されるメッセージを、個別のシステムからネットワーク内の中央に位置するサーバに転送するように設定することができます。これにより、全てのホストが出力したログメッセージを一括で閲覧および管理できるようになるほか、不正攻撃によって特定のホストが乗っ取られてしまったような場合でも、ログを削除して足跡を隠蔽するようなことができなくなります。

中央の syslog サーバにログを集約する設定を行う場合、中央の syslog サーバの設定を行ったあと、各システム (クライアント) の設定を行うことになります。

logger はシステムログ内に指定した内容を出力するためのツールです。特にシェルスクリプトなどから、 rsyslogd のシステムログモジュールにメッセージを書き込みたい場合に使用します。たとえば下記のように入力して実行すると、メッセージが /var/log/messages もしくは systemd のジャーナル (ログ記録用のサービスを何も動作させていなければ) に書き込まれます:

> logger -t Test "This message comes from $USER"

ログインしているユーザとホスト名によって異なりますが、ログには下記のような内容が書き込まれます:

Sep 28 13:09:31 venus Test: This message comes from tux