~~NOCACHE~~
## 52.ログ管理-rsyslog-syslogサーバ設定
rsyslogでsyslogサーバを構築する手順を記載する。
### 概要
・%%/etc/rsyslog.conf%%でsyslog待ち受けの有効化
・%%/etc/logrotate.d/syslog%%でログローテを設定

## /etc/rsyslog.conf設定詳細
### MODULES
syslog受信のUDP514ポートを有効にする。
#### 変更前
<sxh bash; gutter:True>
# Provides UDP syslog reception
# for parameters see http://www.rsyslog.com/doc/imudp.html
#module(load="imudp") # needs to be done just once
#input(type="imudp" port="514")
</sxh>

#### 変更後
<sxh bash; highlight: [3-4]; gutter:True;>
# Provides UDP syslog reception
# for parameters see http://www.rsyslog.com/doc/imudp.html
module(load="imudp") # needs to be done just once
input(type="imudp" port="514")
</sxh>

### RULES
・送信元ごとにログを書き出す。
・messegesにsyslogサーバのログを重複させないようにする。
#### 変更前
<sxh bash; gutter:True>
# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages
</sxh>

#### 変更後
・[& stop]を[/var/log/messages]書き出し前に入れることで重複を回避している。
・送信元は[%fromhost-ip%]で送信元IPごとにディレクトリを分けて、ディレクトリ配下に送信元ごとのファイルを書き出している。
<color #ed1c24>※[127.0.0.1.log]がホストのmessegesにあたるログになります。</color>
<sxh bash; highlight: [1-3]; gutter:True;>
$template syslogFileName,"/var/log/syslog/%fromhost-ip%/%fromhost-ip%.log"
*.info;mail.none;authpriv.none;cron.none                  -?syslogFileName
& stop

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages
</sxh>

## /etc/logrotate.d/syslog設定詳細
参考までに[/etc/logrotate.d/syslog]に追記する方法でログローテの設定をしている。
#### 変更前
<sxh bash; gutter:True>
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
{
    missingok
    notifempty
    sharedscripts
    postrotate
        /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
    endscript
}
</sxh>

#### 変更後
[/var/log/messages]は書き出されないけどコメントアウトを、[notifempty]で空ログ回避を入れても良い。
<sxh bash; highlight: [3,6]; gutter:True;>
/var/log/cron
/var/log/maillog
# /var/log/messages
/var/log/secure
/var/log/spooler
/var/log/syslog/*/*.log
{
    missingok
    sharedscripts
    postrotate
        /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
    endscript
}
</sxh>
{{tag>AWS RHEL 実践的}}