システムログを理解する

サーバーを忙しく働く作業員だと想像してみましょう。Web サイトの実行からデータの処理まで、さまざまなタスクを行っています。サーバーが何をしてきたか、どうすれば把握できるでしょうか。

• システムログは、サーバーの日誌のようなものです。
• イベント、エラー、警告など、さまざまなアクティビティを記録します。
• これらのログは、サーバーの動作を理解し、問題をデバッグし、セキュリティを維持するうえで重要です。

Linux システムでは、従来のログファイルの大半が特定のディレクトリに保存されます。それが /var/log です。

このディレクトリは、システム、サービス、アプリケーションのログをまとめて保管する場所です。問題のトラブルシューティングでは、まずここを確認することがよくあります。

ls コマンドを使って、Linux サーバーの /var/log ディレクトリに通常どのようなログファイルがあるか確認してみましょう。

多くのファイルが表示されます。ファイル名には、記録対象のサービス名やイベントの種類が使われていることがよくあります。

/var/log には多くのファイルがありますが、特によく使われるものがあります。

• syslog（または messages）：一般的なシステムアクティビティ、カーネル以外の起動メッセージ。
• auth.log（または secure）：認証の試行、sudo の使用、セキュリティ関連のイベント。
• kern.log：カーネル関連のメッセージ。ハードウェアやドライバーの問題を調べる際に役立ちます。
• boot.log：システムの起動中に記録されたメッセージ。

systemd を使用する最近の Linux ディストリビューションでは、ログは構造化されたロギングシステムである journal によって管理されることがよくあります。

systemd journal を操作する主なコマンドラインユーティリティは journalctl です。強力なフィルタリング機能と表示機能を備えています。

最初からすべての journal エントリを表示するには、journalctl を実行するだけです。less と同様に、ページ単位でログが表示されます。

ビューアーを終了するには q を押してください。

journalctl はフィルタリングに優れています。特定のサービスや時間帯にログを絞り込めます。

• -u <service>：特定の systemd ユニットのログを表示します（例：sshd、nginx）。
• --since "time"：指定した時刻以降のログを表示します（例："1 hour ago"、"2023-01-01"）。

問題を積極的にデバッグしているときや、新しいイベントを監視しているときは、journalctl -f が非常に便利です。-f（follow）オプションを使うと、新しいログエントリがリアルタイムで流れてきます。

実行した状態で別のターミナルを開き、SSH でログインしてみてください。新しいエントリが表示される様子を確認できます。

システムログはデバッグの強い味方です。サービスが起動しなかったり、アプリケーションがクラッシュしたりした場合は、次のことを行います。

• そのサービス固有のログを確認します（例：journalctl -u myapp.service）。
• error、fail、warning、permission denied などのキーワードを探します。
• ログには、根本原因の特定に役立つ正確なエラーメッセージや手がかりが記録されていることがよくあります。

最近のシステム更新後に起動しなくなった、nginx という名前の Web サーバーサービスをデバッグしているとします。すぐに原因を診断するには、次の journalctl コマンドのうちどれが最も役立つでしょうか。

よくできました。システムログを活用する方法を学びました。

• ログはデバッグと監査に欠かせない重要な記録です。
• /var/log は、多くのログファイルが保存される従来の場所です。
• journalctl は、systemd journal のログを検索するための最新かつ強力なツールです。
• サービスや時刻でログをフィルタリングしたり、リアルタイムで追跡したりできます。

このスキルを磨き続けましょう。問題が発生したとき、ログは最初に確認すべき場所であることがよくあります。