轉(zhuǎn)自：散盡浮華

www.cnblogs.com/kevingrace/p/6307298.html

對(duì)于 Linux 系統(tǒng)安全來(lái)說(shuō)，日志文件是極其重要的工具。不知為何，我發(fā)現(xiàn)很多運(yùn)維同學(xué)的服務(wù)器上都運(yùn)行著一些諸如每天切分 Nginx日志之類的 CRON 腳本，大家似乎遺忘了 Logrotate，爭(zhēng)相發(fā)明自己的輪子，這真是讓人沮喪啊！就好比明明身邊躺著現(xiàn)成的性感美女，大家卻忙著自?shī)首詷?lè)，罪過(guò)！

logrotate 程序是一個(gè)日志文件管理工具。用于分割日志文件，刪除舊的日志文件，并創(chuàng)建新的日志文件，起到“轉(zhuǎn)儲(chǔ)”作用。可以節(jié)省磁盤(pán)空間。下面就對(duì) logrotate 日志輪轉(zhuǎn)操作做一梳理記錄。

1、配置文件介紹

Linux系統(tǒng)默認(rèn)安裝logrotate工具，它默認(rèn)的配置文件在：

logrotate.conf 才主要的配置文件，logrotate.d 是一個(gè)目錄，該目錄里的所有文件都會(huì)被主動(dòng)的讀入/etc/logrotate.conf中執(zhí)行。

另外，如果 /etc/logrotate.d/ 里面的文件中沒(méi)有設(shè)定一些細(xì)節(jié)，則會(huì)以/etc/logrotate.conf這個(gè)文件的設(shè)定來(lái)作為默認(rèn)值。

Logrotate是基于CRON來(lái)運(yùn)行的，其腳本是/etc/cron.daily/logrotate，日志輪轉(zhuǎn)是系統(tǒng)自動(dòng)完成的。實(shí)際運(yùn)行時(shí)，Logrotate會(huì)調(diào)用配置文件/etc/logrotate.conf?？梢栽?etc/logrotate.d目錄里放置自定義好的配置文件，用來(lái)覆蓋Logrotate的缺省值。

[root@huanqiu_web1 ~]# cat /etc/cron.daily/logrotate
#!/bin/sh

/usr/sbin/logrotate /etc/logrotate.conf >/dev/null 2>&1
EXITVALUE=$?
if [ $EXITVALUE != 0 ]; then
    /usr/bin/logger -t logrotate 'ALERT exited abnormally with [$EXITVALUE]'
fi
exit 0

如果等不及cron自動(dòng)執(zhí)行日志輪轉(zhuǎn)，想手動(dòng)強(qiáng)制切割日志，需要加-f參數(shù)；不過(guò)正式執(zhí)行前最好通過(guò)Debug選項(xiàng)來(lái)驗(yàn)證一下（-d參數(shù)），這對(duì)調(diào)試也很重要：

logrotate 命令格式：

logrotate [OPTION...] <configfile>
-d, --debug ：debug模式，測(cè)試配置文件是否有錯(cuò)誤。
-f, --force ：強(qiáng)制轉(zhuǎn)儲(chǔ)文件。
-m, --mail=command ：壓縮日志后，發(fā)送日志到指定郵箱。
-s, --state=statefile ：使用指定的狀態(tài)文件。
-v, --verbose ：顯示轉(zhuǎn)儲(chǔ)過(guò)程。

根據(jù)日志切割設(shè)置進(jìn)行操作，并顯示詳細(xì)信息：

根據(jù)日志切割設(shè)置進(jìn)行執(zhí)行，并顯示詳細(xì)信息,但是不進(jìn)行具體操作，debug模式

[root@huanqiu_web1 ~]# /usr/sbin/logrotate -d /etc/logrotate.conf

[root@huanqiu_web1 ~]# /usr/sbin/logrotate -d /etc/logrotate.d/nginx

查看各log文件的具體執(zhí)行情況

2、切割介紹

比如以系統(tǒng)日志/var/log/message做切割來(lái)簡(jiǎn)單說(shuō)明下：

• 第一次執(zhí)行完rotate(輪轉(zhuǎn))之后，原本的messages會(huì)變成messages.1，而且會(huì)制造一個(gè)空的messages給系統(tǒng)來(lái)儲(chǔ)存日志；

• 第二次執(zhí)行之后，messages.1會(huì)變成messages.2，而messages會(huì)變成messages.1，又造成一個(gè)空的messages來(lái)儲(chǔ)存日志！

如果僅設(shè)定保留三個(gè)日志（即輪轉(zhuǎn)3次）的話，那么執(zhí)行第三次時(shí)，則 messages.3這個(gè)檔案就會(huì)被刪除，并由后面的較新的保存日志所取代！也就是會(huì)保存最新的幾個(gè)日志。

日志究竟輪換幾次，這個(gè)是根據(jù)配置文件中的dateext 參數(shù)來(lái)判定的。

看下logrotate.conf配置：

# cat /etc/logrotate.conf
# 底下的設(shè)定是 'logrotate 的默認(rèn)值' ，如果別的文件設(shè)定了其他的值，
# 就會(huì)以其它文件的設(shè)定為主
weekly          //默認(rèn)每一周執(zhí)行一次rotate輪轉(zhuǎn)工作
rotate 4       //保留多少個(gè)日志文件(輪轉(zhuǎn)幾次).默認(rèn)保留四個(gè).就是指定日志文件刪除之前輪轉(zhuǎn)的次數(shù)，0 指沒(méi)有備份
create         //自動(dòng)創(chuàng)建新的日志文件，新的日志文件具有和原來(lái)的文件相同的權(quán)限；因?yàn)槿罩颈桓拿?因此要?jiǎng)?chuàng)建一個(gè)新的來(lái)繼續(xù)存儲(chǔ)之前的日志
dateext       //這個(gè)參數(shù)很重要！就是切割后的日志文件以當(dāng)前日期為格式結(jié)尾，如xxx.log-20131216這樣,如果注釋掉,切割出來(lái)是按數(shù)字遞增,即前面說(shuō)的 xxx.log-1這種格式
compress      //是否通過(guò)gzip壓縮轉(zhuǎn)儲(chǔ)以后的日志文件，如xxx.log-20131216.gz ；如果不需要壓縮，注釋掉就行

include /etc/logrotate.d
# 將 /etc/logrotate.d/ 目錄中的所有文件都加載進(jìn)來(lái)

/var/log/wtmp {                 //僅針對(duì) /var/log/wtmp 所設(shè)定的參數(shù)
monthly                    //每月一次切割,取代默認(rèn)的一周
minsize 1M              //文件大小超過(guò) 1M 后才會(huì)切割
create 0664 root utmp            //指定新建的日志文件權(quán)限以及所屬用戶和組
rotate 1                    //只保留一個(gè)日志.
}
# 這個(gè) wtmp 可記錄用戶登錄系統(tǒng)及系統(tǒng)重啟的時(shí)間
# 因?yàn)橛?minsize 的參數(shù)，因此不見(jiàn)得每個(gè)月一定會(huì)執(zhí)行一次喔.要看文件大小。

由這個(gè)文件的設(shè)定可以知道/etc/logrotate.d其實(shí)就是由/etc/logrotate.conf 所規(guī)劃出來(lái)的目錄，雖然可以將所有的配置都寫(xiě)入 /etc/logrotate.conf ，但是這樣一來(lái)這個(gè)文件就實(shí)在是太復(fù)雜了，尤其是當(dāng)使用很多的服務(wù)在系統(tǒng)上面時(shí)， 每個(gè)服務(wù)都要去修改 /etc/logrotate.conf 的設(shè)定也似乎不太合理了。

所以，如果獨(dú)立出來(lái)一個(gè)目錄，那么每個(gè)要切割日志的服務(wù)， 就可以獨(dú)自成為一個(gè)文件，并且放置到 /etc/logrotate.d/ 當(dāng)中。

其他重要參數(shù)說(shuō)明：

小示例：下面一個(gè)切割nginx日志的配置

[root@master-server ~]# vim /etc/logrotate.d/nginx
/usr/local/nginx/logs/*.log {
daily
rotate 7
missingok
notifempty
dateext
sharedscripts
postrotate
    if [ -f /usr/local/nginx/logs/nginx.pid ]; then
        kill -USR1 `cat /usr/local/nginx/logs/nginx.pid`
    fi
endscript
}

分享一例曾經(jīng)使用過(guò)的nginx日志切割處理腳本：

1）logrotate日志分割配置

2）日志分割腳本

[root@bastion-IDC ~# vim /usr/local/sbin/logrotate-nginx.sh
#!/bin/bash
#創(chuàng)建轉(zhuǎn)儲(chǔ)日志壓縮存放目錄
mkdir -p /data/nginx_logs/days
#手工對(duì)nginx日志進(jìn)行切割轉(zhuǎn)換
/usr/sbin/logrotate -vf /etc/logrotate.d/nginx
#當(dāng)前時(shí)間
time=$(date -d 'yesterday' +'%Y-%m-%d')
#進(jìn)入轉(zhuǎn)儲(chǔ)日志存放目錄
cd /data/nginx_logs/days
#對(duì)目錄中的轉(zhuǎn)儲(chǔ)日志文件的文件名進(jìn)行統(tǒng)一轉(zhuǎn)換
for i in $(ls ./ | grep '^\(.*\)\.[[:digit:]]$')
do
mv ${i} ./$(echo ${i}|sed -n 's/^\(.*\)\.\([[:digit:]]\)$/\1/p')-$(echo $time)
done
#對(duì)轉(zhuǎn)儲(chǔ)的日志文件進(jìn)行壓縮存放，并刪除原有轉(zhuǎn)儲(chǔ)的日志文件，只保存壓縮后的日志文件。以節(jié)約存儲(chǔ)空間
for i in $(ls ./ | grep '^\(.*\)\-\([[:digit:]-]\+\)$')
do
tar jcvf ${i}.bz2 ./${i}
rm -rf ./${i}
done
#只保留最近7天的壓縮轉(zhuǎn)儲(chǔ)日志文件
find /data/nginx_logs/days/* -name '*.bz2' -mtime 7 -type f -exec rm -rf {} \;

3）crontab定時(shí)執(zhí)行

手動(dòng)執(zhí)行腳本，測(cè)試下看看：

[root@bastion-IDC ~# /bin/bash -x /usr/local/sbin/logrotate-nginx.sh
[root@bastion-IDC ~# cd /data/nginx_logs/days
[root@bastion-IDC days# ls
huantest.access_log-2017-01-18.bz2

php腳本切割一例：

nginx日志切割一例

[root@huanqiu_web1 ~]# cat /etc/logrotate.d/nginx
/Data/logs/nginx/*/*log {
    daily
    rotate 365
    missingok
    notifempty
    compress
    dateext
    sharedscripts
    postrotate
    /etc/init.d/nginx reload
    endscript
}

[root@huanqiu_web1 ~]# ll /Data/logs/nginx/www.huanqiu.com/
..........
-rw-r--r-- 1 root root      1652 Jan  1 00:00 error.log-20170101.gz
-rw-r--r-- 1 root root      1289 Jan  2 00:00 error.log-20170102.gz
-rw-r--r-- 1 root root      1633 Jan  3 00:00 error.log-20170103.gz
-rw-r--r-- 1 root root      3239 Jan  4 00:00 error.log-20170104.gz

系統(tǒng)日志切割一例

tomcat日志切割一例

[root@huanqiu-backup ~]# cat /etc/logrotate.d/tomcat
/Data/app/tomcat-7-huanqiu/logs/catalina.out {
rotate 14
daily
copytruncate
compress
notifempty
missingok
}

[root@huanqiu-backup ~]# ll /Data/app/tomcat-7-huanqiu/logs/catalina.*
-rw-r--r--. 1 root root     0 Jan 19 19:11 /Data/app/tomcat-7-huanqiu/logs/catalina.out
-rw-r--r--. 1 root root 95668 Jan 19 19:11 /Data/app/tomcat-7-huanqiu/logs/catalina.out.1.gz

早期用過(guò)的nginx日志處理一例

3、嘗試解決logrotate無(wú)法自動(dòng)輪詢?nèi)罩镜霓k法

現(xiàn)象說(shuō)明：

使用logrotate輪詢nginx日志，配置好之后，發(fā)現(xiàn)nginx日志連續(xù)兩天沒(méi)被切割，這是為什么呢？？

然后開(kāi)始檢查日志切割的配置文件是否有問(wèn)題，檢查后確定配置文件一切正常。

于是懷疑是logrotate預(yù)定的cron沒(méi)執(zhí)行，查看了cron的日志，發(fā)現(xiàn)有一條Dec 7 04:02:01 www crond[18959]: (root) CMD (run-parts /etc/cron.daily)這樣的日志，證明cron在04:02分時(shí)已經(jīng)執(zhí)行/etc/cron.daily目錄下的程序。

接著查看/etc /cron.daily/logrotate（這是logrotate自動(dòng)輪轉(zhuǎn)的腳本）的內(nèi)容：

[root@huanqiu_test ~]# cat /etc/cron.daily/logrotate
#!/bin/sh

/usr/sbin/logrotate /etc/logrotate.conf >/dev/null 2>&1
EXITVALUE=$?
if [ $EXITVALUE != 0 ]; then
    /usr/bin/logger -t logrotate 'ALERT exited abnormally with [$EXITVALUE]'
fi
exit 0

沒(méi)有發(fā)現(xiàn)異常，配置好的日志輪轉(zhuǎn)操作都是由這個(gè)腳本完成的，一切運(yùn)行正常，腳本應(yīng)該就沒(méi)問(wèn)題。

直接執(zhí)行命令：

這些系統(tǒng)日志是正常輪詢了，但nginx日志卻還是沒(méi)輪詢。

接著強(qiáng)行啟動(dòng)記錄文件維護(hù)操作，縱使logrotate指令認(rèn)為沒(méi)有需要，應(yīng)該有可能是logroate認(rèn)為nginx日志太小，不進(jìn)行輪詢。

故需要強(qiáng)制輪詢，即在/etc/cron.daily/logrotate腳本中將 -t 參數(shù)替換成 -f 參數(shù)

[root@huanqiu_test ~]# cat /etc/cron.daily/logrotate
#!/bin/sh

/usr/sbin/logrotate /etc/logrotate.conf >/dev/null 2>&1
EXITVALUE=$?
if [ $EXITVALUE != 0 ]; then
    /usr/bin/logger -f logrotate 'ALERT exited abnormally with [$EXITVALUE]'
fi
exit 

最后最后重啟下cron服務(wù)：

logrotate默認(rèn)自動(dòng)切割生效時(shí)間

Logrotate是基于CRON來(lái)運(yùn)行的，其腳本是/etc/cron.daily/logrotate，實(shí)際運(yùn)行時(shí)，Logrotate會(huì)調(diào)用配置文件/etc/logrotate.conf。
[root@test ~]# cat /etc/cron.daily/logrotate
#!/bin/sh

/usr/sbin/logrotate /etc/logrotate.conf
EXITVALUE=$?
if [ $EXITVALUE != 0 ]; then
    /usr/bin/logger -t logrotate 'ALERT exited abnormally with [$EXITVALUE]'
fi
exit 0


Logrotate是基于CRON運(yùn)行的，所以這個(gè)時(shí)間是由CRON控制的，具體可以查詢CRON的配置文件/etc/anacrontab（老版本的文件是/etc/crontab）
[root@test ~]# cat /etc/anacrontab
# /etc/anacrontab: configuration file for anacron

# See anacron(8) and anacrontab(5) for details.

SHELL=/bin/sh
PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
# the maximal random delay added to the base delay of the jobs
RANDOM_DELAY=45                                                                  //這個(gè)是隨機(jī)的延遲時(shí)間，表示最大45分鐘
# the jobs will be started during the following hours only
START_HOURS_RANGE=3-22                                                           //這個(gè)是開(kāi)始時(shí)間

#period in days   delay in minutes   job-identifier   command
1 5 cron.daily    nice run-parts /etc/cron.daily
7 25  cron.weekly   nice run-parts /etc/cron.weekly
@monthly 45 cron.monthly    nice run-parts /etc/cron.monthly

第一個(gè)是Recurrence period
第二個(gè)是延遲時(shí)間
所以cron.daily會(huì)在3:22+(5,45)這個(gè)時(shí)間段執(zhí)行，/etc/cron.daily是個(gè)文件夾

通過(guò)默認(rèn)/etc/anacrontab文件配置，會(huì)發(fā)現(xiàn)logrotate自動(dòng)切割日志文件的默認(rèn)時(shí)間是凌晨3點(diǎn)多。

==================================================================================================
現(xiàn)在需要將切割時(shí)間調(diào)整到每天的晚上12點(diǎn)，即每天切割的日志是前一天的0-24點(diǎn)之間的內(nèi)容。
操作如下：
[root@kevin ~]# mv /etc/anacrontab /etc/anacrontab.bak          //取消日志自動(dòng)輪轉(zhuǎn)的設(shè)置

[root@G6-bs02 logrotate.d]# cat nstc_nohup.out
/data/nstc/nohup.out {
rotate 30
dateext
daily
copytruncate
compress
notifempty
missingok
}

[root@G6-bs02 logrotate.d]# cat syslog
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/history
{
    sharedscripts
    compress
    rotate 30
    daily
    dateext
    postrotate
    /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
    endscript
}

結(jié)合crontab進(jìn)行自定義的定時(shí)輪轉(zhuǎn)操作
[root@kevin ~]# crontab -l
#log logrotate
59 23 * * * /usr/sbin/logrotate -f /etc/logrotate.d/syslog >/dev/null 2>&1
59 23 * * * /usr/sbin/logrotate -f /etc/logrotate.d/nstc_nohup.out >/dev/null 2>&1

[root@G6-bs02 ~]# ll /data/nstc/nohup.out*
-rw------- 1 app app 33218 1月  25 09:43 /data/nstc/nohup.out
-rw------- 1 app app 67678 1月  25 23:59 /data/nstc/nohup.out-20180125.gz

除了利用自帶的Logrotate工具實(shí)現(xiàn)日志切割之外，還可以編寫(xiě)python腳本或shell腳本以實(shí)現(xiàn)日志切割。下面就簡(jiǎn)單列出幾個(gè)實(shí)例說(shuō)明下：

一、Python腳本實(shí)現(xiàn)日志切割

二、shell腳本實(shí)現(xiàn)日志切割

[root@qd-vpc-op-consumer01 ~]# cat /app/script/log_rotate.sh
#!/bin/sh

function rotate() {
logs_path=$1

echo Rotating Log: $1
cp ${logs_path} ${logs_path}.$(date -d 'yesterday' +'%Y%m%d')
> ${logs_path}
    rm -f ${logs_path}.$(date -d '7 days ago' +'%Y%m%d')
}

for i in $*
do
        rotate $i
done

--------------------------------------------------------------------------------------------------------------
每天定時(shí)切割日志的任務(wù)制定（比如對(duì)python的一個(gè)業(yè)務(wù)/data/log/xcspam/下的日志進(jìn)行切割，0K的日志不進(jìn)行切割）：
[root@qd-vpc-op-consumer01 ~]# crontab -e
#xcspam 日志切割
30 0 * * * find /data/log/xcspam/ -size +0 -name '*.log' | xargs /app/script/log_rotate.sh

手動(dòng)執(zhí)行切割：
[root@qd-vpc-op-consumer01 ~]# find /data/log/xcspam/ -size +0 -name '*.log' | xargs /app/script/log_rotate.sh

切割后的日志效果：
[root@qd-vpc-op-consumer01 ~]# ls /data/log/xcspam/
xcspam_error.log  xcspam_error.log-20170926

--------------------------------------------------------------------------------------------------------------
比如對(duì)maridb日志進(jìn)行切割
[root@qd-vpc-op-consumer01 ~]# crontab -e
#xcspam 日志切割
30 0 * * * find /var/log/mariadb/ -size +0 -name '*.log' | xargs /app/script/log_rotate.sh

[root@qd-vpc-op-consumer01 ~]# find /var/log/mariadb/ -size +0 -name '*.log' | xargs /app/script/log_rotate.sh
[root@qd-vpc-op-consumer01 ~]# ll /var/log/mariadb/
總用量 8
-rw-r-----. 1 mysql mysql    0 9月  17 20:31 mariadb.log
-rw-r-----. 1 root  root  4532 9月  17 20:31 mariadb.log.20170916
--------------------------------------------------------------------------------------------------------------

推薦用的Nginx日志輪轉(zhuǎn)方法   [部署在nginx的日志目錄下]

#!/bin/bash

yesterday=`date -d '-1 days' +'%Y%m%d'`
cd `dirname $0`
basedir=`pwd`
logdir='${basedir}/bak'
bindir='${basedir%/*}/sbin'
mkdir -p ${logdir}

for log in `ls *.log 2>/dev/null`
do
    mv ${log} ${logdir}/${log}.${yesterday}.bak
    # gzip ${logdir}/${log}.${yesterday}
done

${bindir}/nginx -s reload

cd ${logdir}
find . -type f -name '*.bak' -mtime +7 | xargs rm -f

- EOF -