Como visualizar logs do journalctl mais antigos (depois de uma rotação talvez?)

Question

Estou executando o docker no Ubuntu 16.04 e gostaria de ver os logs. No entanto, não consigo ver os logs depois que o que estou supondo é algum tipo de rotação ou os logs crescem para um determinado tamanho.

Eu não fiz nenhuma alteração no meu journald.conf, então estou usando os padrões lá.

Exemplos do que estou vendo:

systemctl docker status confirma que o serviço está ativo since Thu 2016-10-13 18:56:28 UTC .

No entanto, quando executo algo como journalctl -u docker.service --until "2016-10-13 22:00" - a única saída que obtenho é -- Logs begin at Fri 2016-10-14 01:18:49 UTC, end at Fri 2016-10-14 16:18:25 UTC. -- , posso visualizar os logs desse intervalo conforme o esperado.

Minha pergunta é por que não consigo visualizar logs antigos com journalctl e como posso corrigir esse problema para que eu possa ver os registros?

    

Answer 1

A razão pela qual isso acontece é por causa dos padrões no tamanho dos arquivos journald armazenados. Há mais detalhes sobre este nos documentos . Vale a pena ler toda a seção que eu tenho linkado, mas os padrões funcionam assim:

jounald will use 10% of the disk or 4G, whichever is smaller.

journald will leave free 15% of the disk or 4G, whichever is larger.

Para ver os logs da última inicialização, supondo que você tenha Storage=persistent em seu journald.conf, como as outras anotações de resposta, você pode usar os comandos --boot=-1 flag em journalctl para obter logs apenas da inicialização anterior .

No caso do OP, onde eles tinham certeza de que o host não tinha sido reinicializado, a perda de logs era causada simplesmente pelos padrões SystemMaxUse e / ou SystemKeepFree .

Nota: Eu sou o OP e esta questão ainda tem upvotes escorrendo, então desde que eu ganhei mais experiência com journald (e rtfm) estou postando isso aqui na esperança de que ajude os outros.

    

Answer 2

Pode ser porque você está tentando revisar o diário desde a última inicialização, o que parece ser o caso dentro de uma imagem do docker.

No Ubuntu 16.04, o armazenamento do diário é padronizado como sendo na memória. Você pode alterar o padrão para ser persistente abrindo /etc/systemd/journald.conf e alterando a linha Storage= de auto para persistent . Talvez seja necessário reiniciar o serviço journald depois disso.

Eu acho que a revista deveria ser persistente por padrão , então eu abri um bug sobre isso.