Download as PDF, PPTX
![syslogの流れ
アプリケーション
syslog API経由で <30>Feb 18 12:34:56 hostname prog[1234]: content
syslogメッセージ
を出力
設定ファイル /etc/syslog.conf
syslogサーバ *.info;mail.none;authpriv.none /var/log/messages
authpriv.* /var/log/secure
mail.* /var/log/maillog
設定ファイルの mail.info /var/log/mailinfo
ルールに一致した Feb 18 12:34:56 hostname prog[1234]: content
ファイルに記録
ログ
ファイル](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-7-2048.jpg)
![syslogメッセージの構造
大項目 小項目 例 説明
PRI <30> Priority(Facility, Severity)※
HEADER TIMESTAMP Feb 18 12:34:56 タイムスタンプ
HOSTNAME hostname ホスト名
MSG TAG prog プログラム名やプロセス名
CONTENT [1234]: content メッセージの内容
※PRIはFacilityのコードを8倍して、Severityのコードを加えた十進数の値
を<>で囲ったもの。deamon(3)とinfo(6)の場合は3×8+6で30となり、
PRIの値としては"<30>"となる
<30>Feb 18 12:34:56 hostname prog[1234]: content](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-11-2048.jpg)
![rsyslogの歴史
• 2008年11月: rsyslog 3.20 [v3-stable]
▫ 現在のrsyslogと同じ構造になった。
プラグイン モジュール化
プラグイン モジュールにより機能を拡張できる。
▫ 後方互換性が一部失われている。
設定ファイルの形式としてはディレクティブの記述
が必要
sysklogd由来のオプションは非推奨になった。
ただし、後方互換モードのオプションあり
rsyslogd -c0](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-32-2048.jpg)
![参考）プロパティ
プロパティ 説明
msg syslogメッセージ内の内容部
hostname syslogメッセージ内のホスト名
syslogtag syslogメッセージ内のタグ
programname syslogメッセージ内のタグ（タグがprog[1234]のとき
はprog）。BSD syslogでの本来のタグ。
pri-text PRI部のテキスト表現（facility.severity）
syslogfacility-text facilityのテキスト表現
syslogseverity-text severityのテキスト表現
timegenerated syslogメッセージの受信日時。高精度。
timereported, syslogメッセージ内のタイムスタンプ。
timestamp](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-52-2048.jpg)
![復習）syslogメッセージの構造
大項目 小項目 例 説明
PRI <30> Priority(Facility, Severity)※
HEADER TIMESTAMP Feb 18 12:34:56 タイムスタンプ
HOSTNAME hostname ホスト名
MSG TAG prog プログラム名やプロセス名
CONTENT [1234]: content メッセージの内容
※PRIはFacilityのコードを8倍して、Severityのコードを加えた十進数の値
を<>で囲ったもの。deamon(3)とinfo(6)の場合は3×8+6で30となり、
PRIの値としては"<30>"となる
<30>Feb 18 12:34:56 hostname prog[1234]: content](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-53-2048.jpg)
![参考）タイムスタンプ
• タイムスタンプの形式
▫ RFC3164で定義されたタイプスタンプ
Jan 1 12:34:56
syslogの形式
テンプレートのプロパティのオプション"date-rfc3164"
▫ 高精度のRFC3339形式のタイムスタンプ
2012-01-23T12:34:56.123456+09:00
rsyslogのデフォルト
テンプレートのプロパティのオプション" date-rfc3339"
• タイムスタンプには2種類ある
▫ syslogメッセージ内のタイムスタンプ
テンプレートのプロパティの"%timereported%"
<30>Feb 18 12:34:56 hostname prog[1234]: content
▫ syslogメッセージを受信した日時
テンプレートのプロパティの"%timegenerated%"](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-55-2048.jpg)
![プロパティ ベース フィルタ
• プロパティが条件に一致するかで判断する
• 記述形式
▫ :property, [!]compare-operation, "value"
property
テンプレートのときに説明したプロパティ
compare-operation
比較演算子
"value"
比較対象の値
「"」は「¥"」に、「¥」は「¥¥」にエスケープする。](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-67-2048.jpg)
![プロパティ ベース フィルタ
- プロパティ -
プロパティ 説明
msg syslogメッセージ内の内容部
hostname syslogメッセージ内のホスト名
syslogtag syslogメッセージ内のタグ
programname syslogメッセージ内のタグ（タグがprog[1234]のとき
はprog）。BSD syslogでの本来のタグ。
pri-text PRI部のテキスト表現（facility.severity）
syslogfacility-text facilityのテキスト表現
syslogseverity-text severityのテキスト表現
timegenerated syslogメッセージの受信日時。高精度。
timereported, syslogメッセージ内のタイムスタンプ。
timestamp](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-68-2048.jpg)
![アクション
• IPv6対応
▫ @[2001:db8:dead:beef::14]
▫ @@[2001:db8:dead:beef::14]
• ポート番号
▫ @192.0.2.1:10514
▫ @@192.0.2.1:10514
▫ @[2001:db8:dead:beef::14]:10514
▫ @@[2001:db8:dead:beef::14]:10514](https://image.slidesharecdn.com/rsyslog-primer-120219082947-phpapp01/75/logstudy-01-rsyslog-78-2048.jpg)
More Related Content
#logstudy 01 rsyslog入門
- 1. 2012-02-18 #logstudy 01発表資料 rsyslog入門 株式会社ハートビーツ 滝澤 隆史
- 2. 2 私は誰 • 氏名: 滝澤隆史 @ttkzw • 所属: 株式会社ハートビーツ ▫ MSPやってます • 何やっている人 ▫ メーラMuttの国際化や日本語対応パッチ作者 ▫ SpamAssassinの日本語対応パッチ作者
- 3. アジェンダ • syslogの復習 • rsyslogの概要 •rsyslogの機能
- 5. syslogとは • syslogはカーネルやアプリケーションから通知され たイベント メッセージをsyslogサーバに送り、ロ グファイルに記録する仕組み • sendmailのログの仕組みとしてEric Allmanが syslogデーモンとプロトコルを作った。 • それが他のシステムでも使われて普及してデファク ト スタンダードになった。 • RFC 3164 "The BSD syslog Protocol" ▫ BSD syslogの実際の動作を後追いでまとめたもの ▫ "Standard"ではなく"Infomational"
- 6. syslogとは リレー (relay) 記録 --- -- - syslogサーバ ログファイル (collector) UNIXソケットあるいは 装置 UDPで一方的に送る。 (device) 通知確認はない。
- 7. syslogの流れ アプリケーション syslog API経由で <30>Feb 18 12:34:56 hostname prog[1234]: content syslogメッセージ を出力 設定ファイル /etc/syslog.conf syslogサーバ *.info;mail.none;authpriv.none /var/log/messages authpriv.* /var/log/secure mail.* /var/log/maillog 設定ファイルの mail.info /var/log/mailinfo ルールに一致した Feb 18 12:34:56 hostname prog[1234]: content ファイルに記録 ログ ファイル
- 8. FacilityとSeverity • syslogメッセージはメッセージのPriority（優先 度）を示すために、FacilityとSeverityのコードを 持つ ▫ コードはヘッダファイルsyslog.hを参照。 • Facility（ファシリティ） ▫ メッセージの種類を示す。 • Severity（重大度） ▫ メッセージの重大度を示す。 ▫ OSによってはこれをPriorityと呼んでいることがある。 • syslog.conf ▫ facility.severityの形式で示す。 ▫ 例) mail.info
- 9. Facility コード Facility 意味 コード Facility 意味 セキュリティ／認証 0 kern カーネル メッセージ 10 authpriv （プライベート） ユーザー レベル 1 user 11 ftp FTP メッセージ 2 mail メール 16 local0 ローカル利用のために予約 3 daemon システム デーモン 17 local1 ローカル利用のために予約 セキュリティ／ 4 auth 18 local2 ローカル利用のために予約 認証メッセージ syslogサーバーの 5 syslog 19 local3 ローカル利用のために予約 内部生成メッセージ 6 lpr ラインプリンター 20 local4 ローカル利用のために予約 7 news ネット ニューズ 21 local5 ローカル利用のために予約 8 uucp UUCP 22 local6 ローカル利用のために予約 9 cron クロック デーモン 23 local7 ローカル利用のために予約
- 10. Severity コード Serverity 意味 0 emerg 致命的。システムが利用不能。 1 alert 警戒。すぐに行動しろ。 2 crit 危機的 3 err エラー 4 warning 警告 5 notice 通知 6 info 情報提供 7 debug デバッグ レベルのメッセージ。
- 11. syslogメッセージの構造 大項目 小項目 例 説明 PRI <30> Priority(Facility, Severity)※ HEADER TIMESTAMP Feb 18 12:34:56 タイムスタンプ HOSTNAME hostname ホスト名 MSG TAG prog プログラム名やプロセス名 CONTENT [1234]: content メッセージの内容 ※PRIはFacilityのコードを8倍して、Severityのコードを加えた十進数の値 を<>で囲ったもの。deamon(3)とinfo(6)の場合は3×8+6で30となり、 PRIの値としては"<30>"となる <30>Feb 18 12:34:56 hostname prog[1234]: content
- 12. syslog.conf • syslogdの設定ファイル • syslogメッセージのfacilityとseverityに対応し た出力先のルールを設定する。 *.info;mail.none;authpriv.none /var/log/messages authpriv.* /var/log/secure mail.* /var/log/maillog mail.info /var/log/mailinfo
- 13. syslog.confの書き方 • ルールはセレクタとアクションから構成される。 ▫ 例）mail.info /var/log/mailinfo ▫ "mail.info"がセレクタ ▫ "/var/log/mailinfo"がアクション ▫ セレクタとアクションの間はタブ文字で区切る。 • セレクタに一致したメッセージをアクションに示し た出力先に出力する。 • ルールに一致したからといって、そこで評価を停止 することはない。以降のルールも評価する点に注意。 • "#"で始まる行と空行は無視される。
- 14. セレクタ • facilityとseverityの組み合わせ • facility.severityの形式で記述 ▫ 例）mail.info facilityがmailで、severityがinfo以上のメッセージ に一致 • severityが同じであれば、facilityはカンマ区切 りで複数記述できる。 ▫ 例）auth,authpriv.none
- 15.
- 16. アクション アクションの形式 アクションの内容 /var/log/filename 指定したファイル名のファイルに出力する。 |fifoname 名前付きパイプに出力する。 /dev/devicename 端末やコンソールに出力する。 @hostname 別のホストへUDPでメッセージを転送する。 username1,username2,,,, ユーザーの端末にメッセージを表示する。 ログインしている全てのユーザーの端末に * メッセージを表示する。
- 17. 従来のsyslogの問題点 • メッセージの転送に信頼性がない ▫ネットワーク経由でメッセージを送信するときに はUDPを利用する。 ▫ UDPではパケットの再送を行わなわないため，ロ グメッセージを取りこぼす可能性がある。 ▫ UDPであるため、送信元を詐称した偽のメッセー ジでも受け取ってしまう。
- 18. 従来のsyslogの問題点 • 暗号化できない ▫メッセージは平文である。 ▫ ネットワークパケットを盗聴することにより，そ の内容を盗み見ることが簡単にできる。
- 19. 従来のsyslogの問題点 • セレクタの制御 ▫セレクタではFacilityとSeverityによる制御しかで きない。 ▫ アプリケーション毎や送信元のホスト名毎などに よる制御はできない。 • ログのローテーション ▫ 自身ではログのローテーションができない。
- 20. 従来のsyslogの問題点 • ディスクI/Oの処理が非効率 ▫ログファイルへの出力時にディスクに対して fsyncして確実にディスクに書き出そうとする。 ▫ ログの出力頻度が非常に多い場合には，システム 全体の性能が大幅に低下する。 ▫ sysklogdの拡張機能として、アクションの先頭に "-"を付けて、非同期書き込みにすることもできる。 ▫ 効率的に安全にディスクに書き出す機能が無い。
- 21. 代替のsyslogデーモン • syslog-ng ▫従来のsyslogサーバとの設定ファイルの互換性が ない。 • rsyslog ▫ sysklogdからフォークしたため、syslogサーバと の互換性をある程度維持しつつ、様々な拡張を 行っている。 ▫ 最新のLinuxディストリビューションの多くが rsyslogを使っている。
- 23. rsyslogとは • メッセージ転送の信頼性を重視して様々な拡張 を行っているオープンソースのsyslogサーバー • メインの開発者はRainer Gerhards • http://www.rsyslog.com/
- 24. rsyslogの特徴 • メッセージ転送の信頼性の向上 ▫TCP TCPによるsyslogメッセージの転送に対応 TLSによる通信路の暗号化にも対応 ▫ RELP RELP(Reliable Event Logging Protocol)に対応 ▫ RFC 3195 RFC 3195 "Reliable Delivery for syslog"の受信の み対応 rawプロファイルには完全対応 COOKEDプロファイルは実験ステータス
- 25. rsyslogの特徴 • ログファイルの扱いの改善 ▫2GB以上のログファイルに対応 ただし、OSの制限を超えるものではない ▫ ログのローテーションに対応 ログファイルが指定したファイルサイズになったと きに、ログをローテーションできる ▫ 動的ファイル名に対応 出力先のファイルのファイル名を動的に生成できる ため、日ごとにファイル名を変えることもできる。
- 26. rsyslogの特徴 • データベースへの出力 ▫ MySQL ▫ PostgreSQL ▫ Oracle ▫ libdbi • 多様な出力先 ▫ メール ▫ プログラムへの標準入力 ▫ SNMPトラップ ▫ HadoopのHDFS
- 27. rsyslogの特徴 • 出力するメッセージのカスタマイズ ▫テンプレートにより出力内容をカスタマイズでき る。 ▫ マイクロ秒の精度のタイムスタンプ。 • 柔軟なルールの記述 ▫ フィルタにより、セレクタより細やかな条件を記 述できる。 ▫ 破棄できるアクションが追加。
- 28. rsyslogの特徴 • プラグイン モジュールによる機能拡張 ▫ 上述の様々な機能拡張はプラグイン モジュールに より行われている。 ▫ サードパーティ製のモジュールも作成可能。
- 29. rsyslogの歴史 • 2001年: sysklogd1.4.1 ▫ このリリース以降はほとんど保守されなくなった。 ▫ 次のバージョン1.5.0は2007年にリリースされた。 • 2004年: ▫ Rainerがsysklogdの改良に取りかかる。 ▫ sysklogdからフォークしてrsyslogプロジェクト となる。 ▫ 信頼できるメッセージ転送を実装し、後方互換性 を維持して、sysklogdをそのまま置き換えること 目指した。
- 30. rsyslogの歴史 • 2005年: rsyslog1.0.0 ▫ 後方互換性を維持 ▫ TCPに対応 ▫ MySQLへのログ出力に対応 ▫ ログファイルサイズ2GB以上に対応
- 31. rsyslogの歴史 • 2008年: rsyslog2.0.0 STABLE ▫ この頃から注目を集め始める ▫ フィルタ対応 従来のセレクタでは書けなかった柔軟な条件が書け るようになった。 ▫ 多様なアクションへの対応 破棄 コマンドの実行
- 32. rsyslogの歴史 • 2008年11月: rsyslog3.20 [v3-stable] ▫ 現在のrsyslogと同じ構造になった。 プラグイン モジュール化 プラグイン モジュールにより機能を拡張できる。 ▫ 後方互換性が一部失われている。 設定ファイルの形式としてはディレクティブの記述 が必要 sysklogd由来のオプションは非推奨になった。 ただし、後方互換モードのオプションあり rsyslogd -c0
- 33. rsyslogの現在 • v6 ▫rsyslog 6.3.7 (v6-devel) ▫ rsyslog 6.2.0 (v6-stable) • v5 ▫ rsyslog 5.9.5 (v5-devel) ▫ rsyslog 5.8.7 (v5-stable) • v4 ▫ rsyslog 4.8.0 (v4-stable)
- 34. バージョン番号の付け方 • majar.minor.patchlevel ▫majar 大きな変更があったときに増える ▫ minor 偶数: 安定版(stable) 奇数: 開発版(devel) 奇数: ベータ版(beta) 安定版にする前にbetaとする。 ▫ patchlevel 小さな修正
- 37. 設定ファイル • 設定ファイル ▫/etc/rsyslog.conf
- 38. 設定ファイルの構成 • 設定ファイルの構成 ▫ グローバル ディレクティブ ▫ テンプレート ▫ アウトプット チャネル ▫ ルール • 設定ファイル上の行から順番に評価される点に 注意 ▫ つまり、順番が意味を持つ
- 39. 設定ファイルの挿入 • $IncludeConfigディレクティブにより別の設定 ファイルの内容を読み込んでその位置に挿入す る。 • 利用目的の例 ▫ ソフトウェア毎に設定ファイルを用意する。 • 記述方法 ▫ $IncludeConfig ファイル名 ▫ 例） $IncludeConfig /etc/rsyslog.d/*.conf /etc/rsyslog.d/*.confファイルを読み込む
- 40. 設定ファイルの例(RHEL 6) /etc/rsyslog.conf $ModLoadimuxsock.so $ModLoad imklog.so モジュールのロード $ModLoad imudp.so ディレクティブ $UDPServerRun 514 $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat *.info;mail.none;authpriv.none;cron.none /var/log/messages authpriv.* /var/log/secure mail.* -/var/log/maillog cron.* /var/log/cron ルール *.emerg * uucp,news.crit /var/log/spooler local7.* /var/log/boot.log
- 41. 設定ファイルの例（Ubuntu 11.10） /etc/rsyslog.conf $ModLoad imuxsock $ModLoadimklog モジュールのロード $ModLoad imudp $UDPServerRun 514 $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat $RepeatedMsgReduction on ディレクティブ $FileOwner syslog $FileGroup adm $FileCreateMode 0640 $DirCreateMode 0755 $Umask 0022 $PrivDropToUser syslog $PrivDropToGroup syslog $IncludeConfig /etc/rsyslog.d/*.conf
- 42. 設定ファイルの例（Ubuntu 11.10） /etc/rsyslog.d/50-default.conf auth,authpriv.* /var/log/auth.log *.*;auth,authpriv.none -/var/log/syslog cron.* /var/log/cron.log daemon.* -/var/log/daemon.log kern.* -/var/log/kern.log mail.* -/var/log/mail.log mail.err /var/log/mail.err ルール *.emerg * daemon.*;mail.*;¥ news.err;¥ *.=debug;*.=info;¥ *.=notice;*.=warn |/dev/xconsole
- 44. グローバル ディレクティブ • rsyslogの動作に影響を与える設定を記述する •記述の形式 ▫ 「ディレクティブ 設定値」 ▫ 例） $ModLoad imudp.so imudpモジュールをロードする。
- 45. モジュールのロード • $ModLoad モジュールのファイル名 ▫ モジュールをロードし、その機能を有効にする。 • 例） ▫ $ModLoad imuxsock.so UNIXドメインソケットでのメッセージ受信の機能 を有効にする。 ▫ $ModLoad imklog.so カーネルロギングの機能を有効にする。 ▫ $ModLoad immark.so "--MARK--"メッセージの出力機能を有効にする。
- 46. モジュールのロード • モジュール特有のディレクティブはモジュールを ロードした後の行に記述する。 • 例1） ▫ $ModLoad imudp.so UDPでのメッセージ受信の機能を有効にする。 ▫ $UDPServerRun 514 UDPのポート番号を指定する。 • 例2） ▫ $ModLoad imtcp.so TCPでのメッセージ受信の機能を有効にする。 ▫ $InputTCPServerRun 514 TCPのポート番号を指定する。
- 48. テンプレート • 定義したテンプレートをアクションに割り当て ることにより、出力するメッセージの形式を制 御できる。 • テンプレートの定義 ▫ $template テンプレート名,テンプレートの形式 • テンプレートの適応方法 ▫ セレクタ アクション;テンプレート名
- 49. テンプレート • テンプレートの定義例 ▫ $templateTraditionalFormat, "%TIMESTAMP% %HOSTNAME% %syslogtag%%msg%¥n" %で囲まれた文字列はプロパティであり、syslog メッセージの情報に置き換えられる。 %TIMESTAMP% → タイムスタンプ %HOSTNAME% → ホスト名 %syslogtag% → タグ %msg% → メッセージ • テンプレートの利用例 ▫ *.* /var/log/trad.log;TraditionalFormat
- 50. テンプレートと動的ファイル名 • 出力先のファイル名をテンプレートで定義する ことで動的なファイル名のファイルにメッセー ジを出力する • テンプレートの適応方法 ▫ アクションに「?テンプレート名」を記述 • テンプレートの定義例 ▫ $template DynFile,"/var/log/hosts/%HOSTNAME%.log" • テンプレートの利用例 ▫ *.* ?DynFile
- 51. 参考）プロパティ • プロパティへのアクセス方法 ▫ %propname:fromChar:toChar:options% propnameはプロパティ名 fromCharとtoCharは対象の文字列の範囲を示す。 省略時は全て。 optionsはオプション
- 52. 参考）プロパティ プロパティ 説明 msg syslogメッセージ内の内容部 hostname syslogメッセージ内のホスト名 syslogtag syslogメッセージ内のタグ programname syslogメッセージ内のタグ（タグがprog[1234]のとき はprog）。BSD syslogでの本来のタグ。 pri-text PRI部のテキスト表現（facility.severity） syslogfacility-text facilityのテキスト表現 syslogseverity-text severityのテキスト表現 timegenerated syslogメッセージの受信日時。高精度。 timereported, syslogメッセージ内のタイムスタンプ。 timestamp
- 53. 復習）syslogメッセージの構造 大項目 小項目 例 説明 PRI <30> Priority(Facility, Severity)※ HEADER TIMESTAMP Feb 18 12:34:56 タイムスタンプ HOSTNAME hostname ホスト名 MSG TAG prog プログラム名やプロセス名 CONTENT [1234]: content メッセージの内容 ※PRIはFacilityのコードを8倍して、Severityのコードを加えた十進数の値 を<>で囲ったもの。deamon(3)とinfo(6)の場合は3×8+6で30となり、 PRIの値としては"<30>"となる <30>Feb 18 12:34:56 hostname prog[1234]: content
- 54. 参考）プロパティのオプション オプション 説明 drop-last-if メッセージの最後のLFを落とす。 date-mysql mysqlの日時の形式 date-rfc3164 古典的なsyslogの日時の形式 例）Jan 1 12:34:56 date-rfc3339 RFC 3339の日時の形式。高精度。 例）2012-01-23T12:34:56.123456+09:00 secpath-drop スラッシュ"/"を落とす。動的ファイル名に用いる。 sedpath-replace スラッシュ"/"を"_"に置換。動的ファイル名に用いる。
- 55. 参考）タイムスタンプ • タイムスタンプの形式 ▫RFC3164で定義されたタイプスタンプ Jan 1 12:34:56 syslogの形式 テンプレートのプロパティのオプション"date-rfc3164" ▫ 高精度のRFC3339形式のタイムスタンプ 2012-01-23T12:34:56.123456+09:00 rsyslogのデフォルト テンプレートのプロパティのオプション" date-rfc3339" • タイムスタンプには2種類ある ▫ syslogメッセージ内のタイムスタンプ テンプレートのプロパティの"%timereported%" <30>Feb 18 12:34:56 hostname prog[1234]: content ▫ syslogメッセージを受信した日時 テンプレートのプロパティの"%timegenerated%"
- 56. 参考）タイムスタンプ • テンプレートで定義 • デフォルトのテンプレートの変更 ▫$ActionFileDefaultTemplateディレクティブでデ フォルトのテンプレートを設定できる。 ▫ 古い形式に戻す例 $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
- 58. アウトプット チャネル • アクションに対して様々な処理を行うことを目指し た機能。 • 現状ではファイルとファイルの最大サイズに対する 処理しかできない。 • 例）ログのローテーション ▫ アウトプット チャネルの定義 $outchannel log_rotation,/var/log/foo.log, 10000000,/home/me/./log_rotation_script ▫ ルールの記述 *.* :omfile:$log_rotation ▫ スクリプト: /home/me/log_rotation_script mv -f /var/log/foo.log /var/log/foo.log.1
- 60. sysklogd由来の拡張機能 • rsyslogはsysklogdをフォークしているので sysklogd由来の拡張機能はそのまま使える。
- 61. ルール • 行末にバックスラッシュ"＼"を記述すると複数 行に分けて記述できる。 ▫ 例） *.=info;*.=notice;*.=warn;¥ auth,authpriv.none;¥ cron,daemon.none;¥ mail,news.none -/var/log/messages • セレクタとアクションの間の区切り文字にはタ ブ文字とスペースが使える。
- 62. セレクタ • facilityに"*"を記述すると全てのfacilityに一致 する • severityに"none"を記述するとそのfacilityに一 致しない。 • セレクタ内で右側に記述したものは左側を上書 きする ▫ 例）*.info;mail.none;authpriv.none ▫ severityがinfoのメッセージ。 ▫ ただし、facilityがmailとauthprivのものを除く。
- 63. セレクタ • facility.=severityの形式で、severityに等しい メッセージのみに対してアクションを実施でき る。 • facility.!severityあるいはfacility.!=severityの 形式で否定の意味を持つ。
- 64. アクション • ファイル名の先頭に"-"を付けると非同期書き込 みになる。 • 例） ▫ mail.* -/var/log/maillog
- 66. フィルタ • セレクターの代わりに、フィルタという機能が 使える。 • メッセージが指定した条件に一致したときに、 アクションを実行する • フィルタの種類 ▫ プロパティ ベース フィルタ ▫ 式ベース フィルタ
- 67. プロパティ ベース フィルタ •プロパティが条件に一致するかで判断する • 記述形式 ▫ :property, [!]compare-operation, "value" property テンプレートのときに説明したプロパティ compare-operation 比較演算子 "value" 比較対象の値 「"」は「¥"」に、「¥」は「¥¥」にエスケープする。
- 68. プロパティ ベース フィルタ -プロパティ - プロパティ 説明 msg syslogメッセージ内の内容部 hostname syslogメッセージ内のホスト名 syslogtag syslogメッセージ内のタグ programname syslogメッセージ内のタグ（タグがprog[1234]のとき はprog）。BSD syslogでの本来のタグ。 pri-text PRI部のテキスト表現（facility.severity） syslogfacility-text facilityのテキスト表現 syslogseverity-text severityのテキスト表現 timegenerated syslogメッセージの受信日時。高精度。 timereported, syslogメッセージ内のタイムスタンプ。 timestamp
- 69. プロパティ ベース フィルタ -比較演算子 - 比較演算子 説明 contains プロパティに値が含まれているか確認する。 isempty プロパティが空であるか確認する。 isequal プロパティが値に等しいかを比較する。 startswith プロパティが値で始まっているか確認する。 regex POSIX BRE正規表現に対して比較する。 ereregex POSIX ERE正規表現に対して比較する。 ! 演算子の前につけて否定を意味する。
- 70. プロパティ ベース フィルタの例 •"error"という文字列を含んでいるsyslogメッ セージをerror.logに出力する。 ▫ :msg, contains, "error" /var/log/error.log
- 71. 式ベース フィルタ • 複雑な条件式を記述できる。 ▫ RainerScript http://www.rsyslog.com/doc/rainerscript.html • 記述形式 ▫ if expr then if フィルタの開始 expr 条件式 then フィルタの終わり thenの後にアクションを記述する。
- 72. 式ベース フィルタの条件式 • 条件式 ▫ 括弧"()"内の式 ▫ not, unary minus ▫ *, /, % (剰余) ▫ +, -, & (文字の結合) ▫ ==, !=, <>, <, >, <=, >=, contains (strings!), startswith (strings!) ▫ and ▫ or
- 73. 式ベース フィルタの関数 • 関数 ▫ getenv(str) 文字列の環境変数を返す。 ▫ strlen(str) 文字列の長さを返す。 ▫ tolower(str) 文字列を小文字に変換して返す。
- 74. 式ベース フィルタの例 • "error"という文字列を含んでいるsyslogメッ セージをerror.logに出力する。 ▫ if $msg contains 'error' then /var/log/error.log
- 76. アクション（従来） アクションの形式 アクションの内容 /var/log/filename 指定したファイル名のファイルに出力する。 |fifoname 名前付きパイプに出力する。 /dev/devicename 端末やコンソールに出力する。 @hostname 別のホストへUDPでメッセージを転送する。 username1,username2,,, ユーザーの端末にメッセージを表示する。 ログインしている全てのユーザーの端末にメッ * セージを表示する。
- 77. アクション アクションの形式 アクションの内容 @@hostname 別のホストへTCPでメッセージを転送する。 :modname:params 出力モジュールにメッセージを出力する。 >dbhost,dbname,dbuser, dbpassword データベースにメッセージを出力する。 ~ メッセージを破棄する。 $channelname 出力チャネルにメッセージを出力する。 ?filename 動的なファイル名のファイルに出力する。 ^program_filename サブシェルでプログラムを実行する。
- 78. アクション • IPv6対応 ▫@[2001:db8:dead:beef::14] ▫ @@[2001:db8:dead:beef::14] • ポート番号 ▫ @192.0.2.1:10514 ▫ @@192.0.2.1:10514 ▫ @[2001:db8:dead:beef::14]:10514 ▫ @@[2001:db8:dead:beef::14]:10514
- 79. アクション • テンプレート ▫アクションに「;テンプレート名」を付けると、 メッセージの出力にテンプレートが適応される。 ▫ 例） :ommysql:dbhost,dbname,user,password;dbtemplate
- 81. TCPとキューイング •TCPでsyslogメッセージを転送すると、TCPである ため、転送先のsyslogサーバのダウンを検知できる。 • 転送先のサーバがダウンしたら、キューイングして、 復活したら再送する。 • 下記はRHEL6のrsyslog.confの例 $WorkDirectory /var/spool/rsyslog # where to place spool files $ActionQueueFileName fwdRule1 # unique name prefix for spool files $ActionQueueMaxDiskSpace 1g # 1gb space limit (use as much as possible) $ActionQueueSaveOnShutdown on # save messages to disk on shutdown $ActionQueueType LinkedList # run asynchronously $ActionResumeRetryCount -1 # infinite retries if host is down *.* @@remote-host:514
- 83. プラグイン モジュール • プラグインモジュールにより機能を拡張できる。 • パッケージシステムからrsyslogをインストール したときには、全てのモジュールが提供されて いるわけではない点に注意。 • 入力系のインプット モジュールと出力系のアウ トプット モジュールをここで紹介する。
- 84. インプット モジュール モジュール 説明 バージョン imfile テキストファイルをsyslogメッセージに変換する。 imrelp RELPによるsyslogメッセージを受信する。 imudp UDPでsyslogメッセージを受信する。 imtcp TCPでsyslogメッセージを受信する。 plain TCP syslog経由でsyslogメッセージを受信す 4.7.3, imptcp る。 5.5.8 Kerberos 5の暗号化と認証を使った保護された imgssapi ネットワークでsyslogメッセージを受信する。
- 85. インプット モジュール モジュール 説明 バージョン immark マークメッセージ「--MARK--」を出力する。 imklog カーネルログからメッセージを読む。 imuxsock UNIXソケットでsyslogメッセージを受信する。 im3195 RFC 3195によるsyslogメッセージを受信する。 impstats rsyslogの内部カウンタの定期的な統計情報を提供 5.7.0, する。 6.1.1
- 86. アウトプット モジュール モジュール 説明 バージョン omsnmp SNMPトラップとしてsyslogメッセージを送信す る。 omstdout 標準出力にメッセージを出力する。 4.1.6 omrelp 信頼性のあるRELPプロトコルによるsyslogメッ セージを送信する。 omruleset 別のルールセットにメッセージをフォワードする。5.3.4 omgssapi Kerberos 5の暗号化と認証を使った保護された ネットワークでsyslogメッセージを受信する。 ommysql MySQLのデータベースに出力する。 ompgsql PostgreSQLのデータベースに出力する。 omlibdbi libdbi経由でデータベースに出力する。
- 87. アウトプット モジュール モジュール 説明 バージョン ommail メール経由でsyslogメッセージを送信する。 3.17.0 omprog プログラムの標準入力にメッセージを出力する。 4.3.0 omoracle Oracleのデータベースに出力する。 4.3.0 omudpspoof 偽装した送信アドレスでUDPでメッセージを送 5.1.3 信する。 omuxsock UNIXドメインソケットにメッセージを出力する。 4.7.3, 5.5.7 omhdfs HadoopのHDFS上のファイルにメッセージを出 5.7.1 力する。
- 88.