前言
CentOS 7系统生成的日志主要是通过systemd日志守护进程进行处理和记录的。其日志记录的内容包括系统和服务启动和关闭的信息、系统运行过程中产生的错误、警告和通知信息等等。
系统日志通常被记录在/var/log目录下，主要的日志文件有：
1. messages: 系统基本日志信息，包括系统启动、关闭、网络等信息。
2. secure: 系统认证和授权相关的日志信息，如登录、su操作、sudo操作等。
3. journalctl: 通过journalctl命令可以查看系统日志的详细信息，包括系统启动信息、服务启动信息、错误信息等。
除此之外，系统日志还包括定时任务的日志信息、yum软件包管理器的日志信息、Apache Web服务器的访问和错误日志、MySQL数据库系统的日志信息等。管理员可以根据不同的需求选择查看特定的日志文件，以了解系统的运行情况和问题。
目录
1 引言
1.1 日志的重要性
Linux系统日志对管理员来说，是了解系统运行的主要途径，因此需要对Linux日志系统有个详细的了解。
Linux 系统内核和许多程序会产生各种错误信息、告警信息和其他的提示信息，这些各种信息都应该记录到日志文件中，完成这个过程的程序就是 rsyslog，rsyslog 可以根据日志的类别和优先级将日志保存到不同的文件中。
1.2 常见的系统日志
/var/log/messages：记录Linux操作系统常见的系统和服务错误信息以及系统的各种事件（包括 kernel 日志、syslog、auth 日志等）。
/var/1og/boot.log：记录了系统在引导过程中发生的事件，就是Linux系统开机自检过程显示的信息。
/var/log/lastlog：记录最后一次用户成功登陆的时间、登陆IP等信息(一般通过命令lastlog 查看)。
/var/1og/secure：Linux系统安全日志，记录用户和工作组变坏情况、用户登陆认证情况。/var/log/yum.log：记录 yum 包管理器相关的信息，如软件的安装、更新等。
/var/log/httpd/：记录 Apache 访问日志和错误日志。
/var/log/mysql/：记录 MySQL 数据库的访问日志和错误日志。
【单独讲述下/var/log/messages和/var/log/secure】
（1）/var/log/messages
使用“tail -f /var/log/messages”命令查看日志。
tail -f /var/log/messages
接下来我们重新打开个窗口，使用“systemctl stop httpd”和“systemctl start httpd”命令，查看日志情况。
systemctl stop httpdsystemctl start httpd
（2）/var/1og/secure
使用“tail -f /var/log/secure”命令查看日志，接下来我们重新打开个窗口。
tail -f /var/log/secure测试一：
使用“useradd mortalz7”命令创建一个新用户mortalz7，同时我们使用“passwd mortalz7”命令更改用户密码。
【在此过程中我们故意输错密码一次，观察下日志的变化】
useradd mortalz7passwd mortalz7
查看/var/1og/secure系统日志的变化
测试二：
我们使用“su mortalz7”命令切换用户到mortalz7并退出（使用“exit”命令）。
su mortalz7 
同时我们查看/var/log/secure系统日志的变化
我们将会发现系统日志出现如图所示情况。
2 rsyslog日志管理
2.1 日志类型
auth：pam产生的日志
authpriv：ssh,ftp等登录信息的验证信息
cron：时间任务相关
kern：内核
lpr：打印
mail：邮件
mark(syslog)-rsyslog：服务内部的信息，时间标识
news：新闻组
user：用户程序产生的相关信息
2.2 日志优先级
日志级别分为:（7种日志级别 代号0-7）
0 debug 有调试信息的，日志信息最多
1 info 一般信息的日志，最常用
2 notice 最具有重要性的普通条件的信息
3 warning 警告级别
4 err 错误级别，阻止某个功能或者模块不能正常工作的信息
5 crit 严重级别，阻止整个系统或者整个软件不能工作的信息
6 alert 需要立刻修改的信息
7 emerg 内核崩溃等严重信息
none 不记录任何信息
【其中warning和err常见】
2.3 自定义日志
rsyslog的格式：日志对象.日志级别+日志文件
. 表示大于或者等于后面指定的日志级别
.= 表示等于侯建指定的日志级别
.! 表示不要这个级别的信息
举例：
（1）*.*
第一个*表示的是日志类型，要存储哪一方面的日志；后面的.*表示的是你想要定义的什么级别。
（2）kern.err /var/log/kernel.log
err第四级别，大于错误级别写到/var/log/kernel.log（自己定义的文件）。
（3）mail.info /var/log/mail.log
所有大于等于info级别的mail邮件都写到/var/log/mail.log。
好了，了解的差不多了，最终你就可以使用vim /etc/rsyslog.conf命令开始编写啦~
编写成功后，记得重启日志服务,让本机的日志生效
systemctl restart rsyslog
3 logrotate日志轮转【重点！！！】
3.1 日志轮转
首先先了解下配置文件
vim /etc/logrotate.conf
//全局配置
weekly 轮转周期默认一周轮转一次
rotate4 轮转次数 默认轮转4次（只保留四份文件，当第五份日志文件产生之后，将自动删除最旧的那份文件）
create 创建新文件
dateext 以轮转时刻的时间作为轮转文件的结尾
//局部配置
include /etc/logrotate.d
missingok 在文件不存在的时候也不报错
create 0600 root utmp
强制轮转
logrotate -s /var/lib/logrotate/logrotate.status /etc/logrotate.conf
-s 指定最后的日志轮转记录文件为/var/lib/logrotate/logrotate.status
3.2 日志轮转实例
测试日志轮转，轮转文件/var/log/yum.log
（1）配置轮转规则：vim /etc/logrotate.d/yum
vim /etc/logrotate.d/yum
notifempty表示空文件不轮转（在notifempty前面加#，使空文件也轮转）
（2）为了验证实验的成功性，我们修改下文件内容（如图）。
（3）查看:ls /var/log/yum.*，只有/var/log/yum.log
ls /var/log/yum.*
（4）使用date命令查看当前时间
date修改日期（daily是以天来算的，不能等一天再来看效果，所以我们直接选择修改日期）
date 09301805date后面加“月日时分”
（5）执行手动轮转命令
logrotate /etc/logrotate.conf（6）查看：ls /var/log/yum.*
多了个日志文件，成功啦~
3.3 日志安全，操作日志的隐藏权限
（1）建议测试时先把/etc/logrotate.d/syslog中messages删除（vim命令进入/etc/logrotate.d/syslog中，删除/var/log/messages一行）
vim /etc/logrotate.d/syslog（2）删除完成后，在最下面添加如下命令：
/var/log/messages {
prerotate
chattr -a /var/log/messages
endscript
#notifempty
daily
create 0777 root root
missingok
rotate 3
postrotate
chattr +a /var/log/messages
endscript
}添加成功后，输入“：wq”保存退出。
（3）执行手动轮转命令
logrotate /etc/logrotate.conf运行完毕后没有报错说明编写没有问题，如果报错说明刚才/etc/logrotate.d/syslog中编写有错。（比如说missingok中没有空格或者postrotate打错字母等等。）
【为多个日志文件配置日志轮转】
vim命令进入/etc/logrotate.d/syslog中，删除所想要修改的在最下面进行添加即可（跟刚才同理）
创作不易，给个三连吧~
