Journald

journald ist die Service Unit von systemd, die für das Logging in das zentrale Journal zuständig ist.

Beschreibung

• Standardmäßig werden dort die Logmeldungen des Kernels, des Systems, der Service Units als auch von stdout und stderr gesammelt.

Die Logmeldungen werden standardmäßig in der Datei system.journal gespeichert, die bei Ubuntu im Verzeichnis /run/log/journal/UUID_DES_VERZEICHNISSES gespeichert wird.

• Die UUID_DES_VERZEICHNISSES variiert dabei von System zu System.
• Aktiviert man die persistente Speicherung der Logdateien, dann ändert sich der Speicherort zu /var/log/journal/UUID_DES_VERZEICHNISSES.
• Je nach Einstellung wird zusätzlich für jeden angemeldeten Benutzer eine Journald-Datei angelegt, siehe den entsprechenden Abschnitt dazu weiter unten.

journald kümmert sich selber um die Log rotation.

• Standardmäßig erfolgt dies in Abhängigkeit von der Größe der Logdatei, wobei man in der Konfiguration auch eine zeit-basierte Logrotation umstellen kann.

Des Weiteren verwenden die Journaldateien ein binäres Format zum Speichern der Daten.

• Zum Auslesen der Daten gibt es verschiedene Möglichkeiten.

Zusätzlich schützt journald die Journaleinträge gegen Manipulation durch eine Technik namens "Forward Secure Sealing".

• Dadurch wird es z.B. unerwünschten Eindringlingen ins eigene System erschwert, ihre Spuren durch Manipulation der Logeinträge zu verschleiern.

Installation

• Auf aktueller Debian-Systemen während der Systeminstallation als Standard installiert.
• TODO: List der Pakete

Konfiguration

Möchte man die Einstellung von journald ändern, muss die Datei /etc/systemd/journald.conf mit einem Editor und Root-Rechten bearbeitet werden.

In der Datei sind alle Default-Konfigurationswerte von journald in Form von auskommentierten Einträgen hinterlegt.

• Zum Ändern eines Konfigurationspunkts ändert man einfach den entsprechenden Wert und entfernt das Kommentarzeichen # am Zeilenanfang.
• Nach einem Neustart des Rechners läuft journald mit der geänderten Konfiguration.

Eine komplette Übersicht inklusive Erklärung zu den Konfigurationsmöglichkeiten findet man in der Dokumentation oder in der Manpage namens journald.conf.

Speichereinstellung für das Journal ändern

Wie (und ob) das Journal gespeichert wird, wird über den Wert des Schlüssels Storage geregelt.

• Unter Ubuntu ist der Standardwert auto.
• Dabei wird die Journal-Datei im Verzeichnis/run/log/UUID_DES_VERZEICHNISSES/ angelegt und geht nach dem Herunterfahren des Systems verloren.

Damit die Journaldateien - und damit alle Logs - für längere Zeit gespeichert werden, gibt es zwei Möglichkeiten:# Man legt das Verzeichnis /var/log/journal/ an.

• Nach dem Neustart des Systems wird die Journal dort gespeichert und bleibt somit auch nach einem Neustart des Systems bestehen.

1. Man ändert in der Konfigurationsdatei /etc/systemd/journald.conf den Wert der Zeile
   Storage=auto
   auf
   Storage=persistent
   Nach einem Neustart des Systems wird der Ordner /var/log/journal/ automatisch angelegt und das Journal wird dort dauerhaft gespeichert.

Hat man die erste Möglichkeit gewählt, so kehrt man zum nicht-dauerhaften Journal zurück, in dem man das händisch angelegte Verzeichnis löscht und dann den Rechner neu starten.

Möchte man keine Journaldatei anlegen und somit das Logging komplett deaktivieren (nicht empfohlen!), muss man für den Schlüssel Storage den Wert none eintragen.

Zusätzliche Journal-Dateien pro Benutzer

Ist das persistente Speichern des Journals aktiviert, wird zusätzlich zur Journal-Datei system.journal eine .journal-Datei für jeden Benutzer angelegt.

• Diese folgen dem Namensschema user-XXXX.journal, wobei XXXX die Nutzer-ID (UID) auf dem System ist.
• Der 1. angelegte Benutzer hat bei Ubuntu die Nummer 1000, der zweite 1001 usw.
• In diesen Journal-Dateien werden dann nur die Logs gesammelt, die nur durch den Benutzer (und nicht das System) generiert werden.

Weiterleitung der Logs an syslog

In der Standardkonfiguration von journald unter Ubuntu werden die Logs, welches ins zentrale Journal geschrieben werden, zusätzlich an rsyslog weiter geleitet, welches die traditionelle Logdatei /var/log/syslog anlegt.

• Die Weiterleitung erfolgt über den Socket /run/systemd/journal/syslog.

Um das Weiterleiten zu deaktivieren, muss man in der Konfigurationsdatei von journald den Schlüssel ForwardToSyslog auf no setzen.

Zu beachten ist, dass die Weiterleitung an syslog unabhängig von dem gesetzten Werte für Storage ist.

• D.h. bei Storage=none und ForwardToSyslog=yes werden trotzdem alle Meldungen im syslog gespeichert.

Journal-Datei auslesen

journalctl

journalctl ist das Standardwerkzeug zum Auslesen und Anzeige der Journaldatei.

• Mehr Informationen sind im separaten Artikel journalctl zu finden.

strings und grep

Auch wenn die Logdateien in einem Binärformat gespeichert werden, sind darin gespeicherten Meldungen unverändert als Zeichenketten abgelegt und lassen sich mit dem Werkzeug strings (enthalten im Paket binutils) und grep auch ohne journalctl herausfiltern:

strings /pfad/zum/system.journal | grep -i SUCHBEGRIFF 

(der Pfad ist meist ein Unterordner von /run/log/journal/)