Como devo enviar logs do systemd para um servidor de log dedicado?

Question

No passado, eu usava syslog-ng ou rsyslog para enviar logs do sistema para um servidor de log dedicado em algum outro lugar da rede. Com o systemd, no entanto, coisas como os comandos do sudo que anteriormente estavam armazenados em / var / log / secure ou /var/log/auth.log (dependendo da sua distro).

Estou ciente de que o /etc/systemd/journald.conf tem uma opção ForwardToSyslog=yes que me permitiria retornar aos meus modos antigos, mas isso parece um passo deselegante para trás. O systemd tem um meio embutido de enviar logs para um servidor central de registro como Logrhythm, ELK ou similar, ou configurar ForwardToSyslog=yes como fazer isso?

    

Answer 1

Parece que o systemd não tem um meio embutido de encaminhar mensagens para um servidor syslog. A recomendação oficial da Red Hat é usar o imjournal module para permitir que o rsyslog leia os logs do journald e encaminhe esses logs para um servidor de registro central definindo o seguinte em /etc/rsyslog.conf:

module(load="imjournal"
    PersistStateInterval="number_of_messages"
    StateFile="path"
    ratelimit.interval="seconds"
    ratelimit.burst="burst_number"
    IgnorePreviousMessages="off/on")

Eles fornecem detalhes de uso para essas opções, observando

• With number_of_messages, you can specify how often the journal data must be saved. This will happen each time the specified number of messages is reached.

• Replace path with a path to the state file. This file tracks the journal entry that was the last one processed.

• With seconds, you set the length of the rate limit interval. The number of messages processed during this interval can not exceed the value specified in burst_number. The default setting is 20,000 messages per 600 seconds. Rsyslog discards messages that come after the maximum burst within the time frame specified.

• With IgnorePreviousMessages you can ignore messages that are currently in Journal and import only new messages, which is used when there is no state file specified. The default setting is off. Please note that if this setting is off and there is no state file, all messages in the Journal are processed, even if they were already processed in a previous rsyslog session.

    

Answer 2

Eu não li minuciosamente sobre imjournald antes, mas depois de ler a resposta de James Shewey, acho que é realmente fácil.

Usando conjuntos de regras, você pode conseguir o que quiser.

module(load="imjournal"
    PersistStateInterval="number_of_messages"
    StateFile="path"
    ratelimit.interval="seconds"
    ratelimit.burst="burst_number"
    IgnorePreviousMessages="off/on"
    ruleset="journald"  #bind this action to the ruleset "journald"
    )

#declare ruleset "journald"

ruleset(
 name="journald"              
 queue.type="FixedArray"       
 queue.spoolDirectory="/var/run/rsyslog/queues" 
 queue.filename="stats_ruleset"
 queue.lowwatermark="20000"     
 queue.maxdiskspace="100m"        
 queue.size="5000000"             
 queue.dequeuebatchsize="1000"  
 queue.saveonshutdown="on"      
) {

# add here actions you want to perform

action(
  name="impstats_to_es"
  type="omelasticsearch"
  server="127.0.0.1"
  serverport="9200"
  template="stats"
  searchIndex="impstats"
  searchType="impstats"
  bulkmode="on"
  action.resumeretrycount="-1"
)

}