Systemd/Journald: Unterschied zwischen den Versionen

Aktuelle Version vom 20. Oktober 2025, 22:34 Uhr

journald - Service Unit des systemd zum Logging in das zentrale Journal

Beschreibung

Das Journal sammelt Logmeldungen

system.journal

Die Logmeldungen werden standardmäßig in der Datei system.journal gespeichert

/run/log/journal/UUID_DES_VERZEICHNISSES
Die UUID_DES_VERZEICHNISSES variiert dabei von System zu System

Persistente Speicherung

Aktiviert man die persistente Speicherung der Logdateien, dann ändert sich der Speicherort zu /var/log/journal/UUID_DES_VERZEICHNISSES

Je nach Einstellung wird zusätzlich für jeden angemeldeten Benutzer eine Journald-Datei angelegt
- #zusaetzliche-Journal-Dateien-pro-Benutzer

Log rotation

journald kümmert sich selbst um die Log rotation

Standardmäßig erfolgt dies in Abhängigkeit von der Größe der Logdatei, wobei man in der Konfiguration auch eine zeit-basierte Logrotation umstellen kann

Binäre Journaldateien

Zum Auslesen sind spezielle Programme notwendig
Möglichkeiten

Schutz vor Manipulation

Zusätzlich schützt journald die Journaleinträge gegen Manipulation durch eine Technik namens "Forward Secure Sealing"

Dadurch wird es etwa unerwünschten Eindringlingen ins eigene System erschwert, ihre Spuren durch Manipulation der Logeinträge zu verschleiern

Installation

Journald ist Teil von Systemd

Journal-Datei auslesen

Befehl	Beschreibung
journalctl	Standardwerkzeug zum Auslesen und Anzeige der Journaldatei
strings und grep	strings /pfad/zum/system.journal \| grep -i SUCHBEGRIFF

strings und grep

Obwohl die Logdateien in einem Binärformat gespeichert werden, sind darin gespeicherte Meldungen unverändert als Zeichenketten abgelegt und lassen sich mit dem Werkzeug strings (binutils) und grep ohne journalctl herausfiltern:

strings system.journal | grep -i SUCHBEGRIFF

Die Datei system.journal liegt in einem Unterordner von

/run/log/journal/
/var/log/journal/

Aufruf

Optionen

Argumente

Umgebungsvariablen

Exit-Status

Anwendung

Problembehebung

Anhang

Siehe auch

Systemd/Journald/Konfiguration

Dokumentation

Man-Page

prep(1)

Links

Projekt

Weblinks

@@ Zeile 1: / Zeile 1: @@
-'''journald''' - Service Unit des [[systemd]] zum [[Logging]] in das zentrale Journal
+'''journald''' - Service Unit des [[systemd]] zum [[Linux/Logging|Logging]] in das zentrale Journal
 == Beschreibung ==
-Standardmäßig werden dort die Logmeldungen des Kernels, des Systems, der [https://wiki.ubuntuusers.de/systemd/Service_Units/ Service Units] als auch von [https://wiki.ubuntuusers.de/Shell/Umleitungen/#stdin-stdout-stderr-Kanaele-der-Bash stdout] und [https://wiki.ubuntuusers.de/Shell/Umleitungen/#stdin-stdout-stderr-Kanaele-der-Bash stderr] gesammelt
+; Das Journal sammelt Logmeldungen
+* [[Kernel]]
+* System
+* [https://wiki.ubuntuusers.de/systemd/Service_Units/ Service Units]
+* [https://wiki.ubuntuusers.de/Shell/Umleitungen/#stdin-stdout-stderr-Kanaele-der-Bash stdout]
+* [https://wiki.ubuntuusers.de/Shell/Umleitungen/#stdin-stdout-stderr-Kanaele-der-Bash stderr]
+; system.journal
 Die Logmeldungen werden standardmäßig in der Datei '''system.journal''' gespeichert
 * ''/run/log/journal/UUID_DES_VERZEICHNISSES''
 * Die <tt>UUID_DES_VERZEICHNISSES</tt> variiert dabei von System zu System
+; Persistente Speicherung
 Aktiviert man die [https://wiki.ubuntuusers.de/systemd/journald/#Speichereinstellung-fuer-das-Journal-aendern persistente Speicherung] der Logdateien, dann ändert sich der Speicherort zu '''/var/log/journal/UUID_DES_VERZEICHNISSES'''
-* Je nach Einstellung wird zusätzlich für jeden angemeldeten Benutzer eine Journald-Datei angelegt, siehe den entsprechenden Abschnitt dazu [https://wiki.ubuntuusers.de/systemd/journald/#zusaetzliche-Journal-Dateien-pro-Benutzer weiter unten]
+* Je nach Einstellung wird zusätzlich für jeden angemeldeten Benutzer eine Journald-Datei angelegt
+** [[#zusaetzliche-Journal-Dateien-pro-Benutzer]]
-journald kümmert sich selber um die [https://en.wikipedia.org/wiki/Log%20rotation Log rotation]
+; Log rotation
+journald kümmert sich selbst um die [https://en.wikipedia.org/wiki/Log%20rotation Log rotation]
 * Standardmäßig erfolgt dies in Abhängigkeit von der Größe der Logdatei, wobei man in der Konfiguration auch eine zeit-basierte Logrotation umstellen kann
-Des Weiteren verwenden die Journaldateien ein binäres Format zum Speichern der Daten
+; Binäre Journaldateien
-* Zum Auslesen der Daten gibt es [https://wiki.ubuntuusers.de/systemd/journald/#Journal-Datei-auslesen verschiedene Möglichkeiten]
+* Zum Auslesen sind spezielle Programme notwendig
+* [[#Journal-Datei auslesen| Möglichkeiten]]
+; Schutz vor Manipulation
 Zusätzlich schützt journald die Journaleinträge gegen Manipulation durch eine Technik namens "Forward Secure Sealing"
-* Dadurch wird es beispielsweise unerwünschten Eindringlingen ins eigene System erschwert, ihre Spuren durch Manipulation der Logeinträge zu verschleiern
+* Dadurch wird es etwa unerwünschten Eindringlingen ins eigene System erschwert, ihre Spuren durch Manipulation der Logeinträge zu verschleiern
 == Installation ==
-* Auf aktueller Debian-Systemen während der Systeminstallation als Standard installiert
+[[Systemd/Journald|Journald]] ist Teil von [[Systemd]]
-* TODO: List der Pakete
-== Konfiguration ==
-Möchte man die Einstellung von journald ändern, muss die Datei '''/etc/systemd/journald.conf''' mit einem Editor und Root-Rechten bearbeitet werden
-In der Datei sind alle Default-Konfigurationswerte von journald in Form von auskommentierten Einträgen hinterlegt
-* Zum Ändern eines Konfigurationspunkts ändert man einfach den entsprechenden Wert und entfernt das Kommentarzeichen <tt><nowiki>#</nowiki></tt> am Zeilenanfang
-* Nach einem Neustart des Rechners läuft journald mit der geänderten Konfiguration
-Eine komplette Übersicht inklusive Erklärung zu den Konfigurationsmöglichkeiten findet man in der [https://www.freedesktop.org/software/systemd/man/journald.conf.html Dokumentation] oder in der [https://wiki.ubuntuusers.de/man/ Manpage] namens '''journald.conf'''
-=== Speichereinstellung für das Journal ändern ===
-Wie (und ob) das Journal gespeichert wird, wird über den Wert des Schlüssels <tt>Storage</tt> geregelt
-* Unter Ubuntu ist der Standardwert <tt>auto</tt>
-* Dabei wird die Journal-Datei im Verzeichnis'''/run/log/UUID_DES_VERZEICHNISSES/''' angelegt und geht nach dem Herunterfahren des Systems verloren
-Damit die Journaldateien - und damit alle Logs - für längere Zeit gespeichert werden, gibt es zwei Möglichkeiten:# Man legt das Verzeichnis '''/var/log/journal/''' an
-* Nach dem Neustart des Systems wird die Journal dort gespeichert und bleibt somit auch nach einem Neustart des Systems bestehen
-# Man ändert in der Konfigurationsdatei '''/etc/systemd/journald.conf''' den Wert der Zeile <br/>Storage=auto <br/>auf <br/>Storage=persistent <br/>Nach einem Neustart des Systems wird der Ordner '''/var/log/journal/''' automatisch angelegt und das Journal wird dort dauerhaft gespeichert
-Hat man die erste Möglichkeit gewählt, so kehrt man zum nicht-dauerhaften Journal zurück, in dem man das händisch angelegte Verzeichnis löscht und dann den Rechner neu starten
-Möchte man keine Journaldatei anlegen und somit das Logging komplett deaktivieren (nicht empfohlen!), muss man für den Schlüssel <tt>Storage</tt> den Wert <tt>none</tt> eintragen
-=== Zusätzliche Journal-Dateien pro Benutzer ===
-Ist das [https://wiki.ubuntuusers.de/systemd/journald/#Speichereinstellung-fuer-das-Journal-aendern persistente Speichern] des Journals aktiviert, wird zusätzlich zur Journal-Datei '''system.journal''' eine '''.journal'''-Datei für jeden Benutzer angelegt
-* Diese folgen dem Namensschema '''user-XXXX.journal''', wobei <tt>XXXX</tt> die Nutzer-ID (UID) auf dem System ist
-* Der 1. angelegte Benutzer hat bei Ubuntu die Nummer <tt>1000</tt>, der zweite <tt>1001</tt> usw
-* In diesen Journal-Dateien werden dann nur die Logs gesammelt, die nur durch den Benutzer (und nicht das System) generiert werden
-=== Weiterleitung der Logs an syslog ===
-In der Standardkonfiguration von journald unter Ubuntu werden die Logs, welches ins zentrale Journal geschrieben werden, zusätzlich an [https://www.rsyslog.com/ rsyslog] weiter geleitet, welches die traditionelle Logdatei '''/var/log/syslog''' anlegt
-* Die Weiterleitung erfolgt über den Socket '''/run/systemd/journal/syslog'''
-Um das Weiterleiten zu deaktivieren, muss man in der Konfigurationsdatei von journald den Schlüssel <tt>ForwardToSyslog</tt> auf <tt>no</tt> setzen
-Zu beachten ist, dass die Weiterleitung an syslog unabhängig von dem gesetzten Werte für <tt>Storage</tt> ist
-* D.h. bei <tt>Storage=none</tt> und <tt>ForwardToSyslog=yes</tt> werden trotzdem alle Meldungen im syslog gespeichert
 == Journal-Datei auslesen ==
-=== journalctl ===
+{| class="wikitable options big"
-[[journalctl]] ist das Standardwerkzeug zum Auslesen und Anzeige der Journaldatei
+|-
+! Befehl !! Beschreibung
+|-
+| [[journalctl]] || Standardwerkzeug zum Auslesen und Anzeige der Journaldatei
+|-
+| [[strings]] und [[grep]] || <nowiki>strings /pfad/zum/system.journal | grep -i SUCHBEGRIFF</nowiki>
+|}
-=== strings und grep ===
+; [[strings]] und [[grep]]
-Auch wenn die Logdateien in einem Binärformat gespeichert werden, sind darin gespeicherten Meldungen unverändert als Zeichenketten abgelegt und lassen sich mit dem Werkzeug <tt>strings</tt> (enthalten im Paket '''binutils''') und [https://wiki.ubuntuusers.de/grep/ grep] auch ohne journalctl herausfiltern:
+Obwohl die Logdateien in einem Binärformat gespeichert werden, sind darin gespeicherte Meldungen unverändert als Zeichenketten abgelegt und lassen sich mit dem Werkzeug [[strings]] ([[binutils]]) und [[grep]] ohne journalctl herausfiltern:
-  strings /pfad/zum/system.journal | grep -i SUCHBEGRIFF
+  strings system.journal | grep -i SUCHBEGRIFF
-(der Pfad ist meist ein Unterordner von /run/log/journal/)
+Die Datei [[system.journal]] liegt in einem Unterordner von
+* /run/log/journal/
-== Installation ==
+* /var/log/journal/
-<syntaxhighlight lang="bash" highlight="1" line copy>
-</syntaxhighlight>
 == Aufruf ==
 <syntaxhighlight lang="bash" highlight="1" line copy>
@@ Zeile 86: / Zeile 63: @@
 == Anwendung ==
 === Problembehebung ===
-== Konfiguration ==
-Das Verhalten des systemd-journald-Service lässt sich in <code>/etc/systemd/journald.conf</code> festlegen
-* In diesem Abschnitt werden lediglich die grundlegenden Optionseinstellungen vorgestellt
-* Eine vollständige Beschreibung der Datei finden Sie auf der man-Seite <code>man 5 journald.conf</code>
-* Damit die Änderungen in Kraft treten, müssen Sie das Journal wie folgt neu starten
- systemctl restart systemd-journald
-=== Persistenz ===
-Das Journal speichert die Protokolldaten standardmäßig in <code>/run/log/journal/</code>
-* Das Verzeichnis <code>/run/</code> ist naturgemäß flüchtig, weshalb die Protokolldaten beim Neubooten verloren gehen
-* Um persistente Protokolldaten zu erzielen, muss das Verzeichnis <code>/var/log/journal/</code> mit den entsprechenden Angaben zu Eigentümer und Berechtigungen vorhanden sein, damit der systemd-journald-Service die Daten dort speichern kann
-So können Sie das Verzeichnis mit <code>systemd</code> erstellen und die persistente Protokollierung aktivieren: # Öffnen Sie die Datei <code>/etc/systemd/journald.conf</code> als <code>root</code> zum Bearbeiten
- vi /etc/systemd/journald.conf
-Heben Sie die Auskommentierung der Zeile auf, die mit <code>Storage=</code> beginnt, und ändern Sie sie wie folgt
- [...]
- [Journal]
- Storage=persistent
- #Compress=yes [...]
-Speichern Sie die Datei, und starten Sie systemd-journald neu
- systemctl restart systemd-journald
-=== Größenbeschränkung ===
-Wenn die Journalprotokolldaten an einem persistenten Speicherort gespeichert werden, belegen sie bis zu 10 % des Dateisystems, auf dem sich <code>/var/log/journal</code> befindet
-* Ist <code>/var/log/journal</code> beispielsweise auf einer <code>/var</code>-Partition mit einer Kapazität von 30 GB gespeichert, so kann das Journal bis zu 3 GB des Festplattenspeichers belegen
-Zum Bearbeiten dieser Größenbeschränkung ändern Sie die Option <code>SystemMaxUse</code> (und heben Sie die Auskommentierung dieser Option auf)
- SystemMaxUse=50M
-=== Weiterleiten an /dev/ttyX ===
-Sie können das Journal an ein Terminalgerät weiterleiten, sodass Sie an einem bevorzugten Terminalbildschirm (beispielsweise <code>/dev/tty12</code>) über Systemmeldungen informiert werden
-Ändern Sie die folgenden journald-Optionen
- ForwardToConsole=yes
- TTYPath=/dev/tty12
-=== Weiterleitung an Syslog ===
-journald ist abwärtskompatibel zu herkömmlichen syslog-Implementierungen wie <code>rsyslog</code>
- apt install rsyslog
- systemctl is-enabled rsyslog
-Die Weiterleitung an syslog wird in <code>/etc/systemd/journald.conf</code> aktiviert
- ForwardToSyslog=yes
-=== Dateien ===
-{| class="wikitable options big"
-|-
-! Datei !! Beschreibung
-|-
-| ||
-|-
-| ||
-|}
-<noinclude>
 <noinclude>
 == Anhang ==
 === Siehe auch ===
-{{Special:PrefixIndex/journal}}
+<div style="column-count:2">
+<categorytree hideroot=on mode="pages">{{BASEPAGENAME}}</categorytree>
+</div>
+----
+{{Special:PrefixIndex/{{BASEPAGENAME}}/}}
 === Dokumentation ===
+; Man-Page
+# [https://manpages.debian.org/stable/procps/pgrep.1.de.html prep(1)]
+<!--
+; Info-Pages
+-->
-; Man-Page
-;Info-Page
 === Links ===
 ==== Projekt ====
@@ Zeile 164: / Zeile 87: @@
 # https://de.wikipedia.org/wiki/Logging
-{{DISPLAYTITLE:journald}}
+[[Kategorie:Journald]]
-{{DEFAULTSORT:journald}}
-[[Kategorie:Systemd]]
-[[Kategorie:Linux/Logging]]
 </noinclude>