Substituição de configuração rsyslog do Amazon Linux

Question

Estou usando o Amazon Linux AMI release 2015.03, estou tentando configurar o rsyslog para redirecionar logs para um servidor de log remoto (no caso, logstash), descartando um arquivo conf em /etc/rsyslog.d.

A configuração do log remoto parece funcionar bem, mas os logs ainda são gravados em / var / log / messages também. O que é um problema porque eles estão enchendo o disco.

Meu arquivo conf se parece com isto:

# Log docker generated log messages to logstash
:syslogtag, startswith, "docker" @x.x.x.x:5000    
& ~

Após algumas investigações com alguns outros sistemas, descobri que o arquivo rsyslog.conf que existe por padrão no Amazon Linux está incluindo essa diretiva no final do arquivo conf:

$IncludeConfig /etc/rsyslog.d/*.conf

Outros sistemas que usei têm essa diretiva mais alta no arquivo de configuração ... definitivamente antes das configurações de log padrão. Parece-me que os padrões não podem ser substituídos por causa disso. Estou faltando alguma coisa?

    

Answer 1

It appears to me that the defaults cannot be overridden because of this. Am I missing something?

Não pense nisso como padrão de substituição, mas você está correto. Em seu arquivo, o & ~ está descartando a mensagem de log que impede o processamento adicional. Se isso ocorrer acima do processamento interno de /var/log/messages , a mensagem de log será descartada e, portanto, excluída desse arquivo. Já que seu $IncludeConfig está ocorrendo depois, sua declaração de queda também é.

Você tem duas opções:

1. Mova a instrução $IncludeConfig para cima.
2. Corrija a rotação de log para que seu disco não seja preenchido.

Eu preferiria pessoalmente este último porque eu gosto de manter os logs localmente (por um período de tempo razoável), bem como encaminhá-los para um servidor remoto para agregação / retenção. Ter as mensagens de registro disponíveis em /var/log/messages tornará a solução de problemas mais conveniente e mais fácil para qualquer outra pessoa que use o sistema, pois esse é o local esperado para .