下载linux系统基本都是用systemd启动系统并管理进程

journalctl可以查看所有的系统日志文件，由于日志信息量很大，journalctl还提供了各种参数帮助用户更快速的定位到日志信息

默认情况下，用户都可以访问自己的日志。对于系统主日志和其他用户的日志，仅限于有权限的用户访问，比如root用户，wheel组和systemd组的用户

下面我们来看看journalctl命令的用法

journalctl #用来查看所有日志，默认显示本次启动的所有日志
journalctl -r #-r参数表示反序输出，从新到旧，默认是从旧到新
journalctl -k #查看内核日志
journalctl -f #跟踪日志文件，会实时输出最新日志
journalctl -n 数字 #指定输出显示的大小

限制指定时间内的事件日志

journalctl --since 1 hour ago

查看1小时前到现在的日志，除了这样可以直接使用"yesterday"、"today"、"tomorrow"或"now"

journalctl --since yesterday

查看昨天的日志

journalctl --since "2022-07-28 10:00:00" --until "2022-07-29 10:00:00"

查看昨天10点到今天10点的日志

journalctl -u kubelet

查看kubelet服务的日志

journalctl _PID=1

根据进程ID查询

默认情况，journal输出进入分页模式，用户可以在终端上调整显示的内容，如果要不需要分页，需要加上--no-pager参数

以Json格式输出

通过-o参数，可以设置为json格式输出，这对于其他接收json格式的日志分析工具非常友好

journalctl -p 5 --no-pager -o json

使用json-pretty则对于管理员查看日志非常易读

journalctl -p 5 --no-pager -o json-pretty

支持的各种格式如下：

cat: 只显示信息字段本身。
export: 适合传输或备份的二进制格式。
json: 标准JSON，每行一个条目。
json-pretty: JSON格式，适合人类阅读习惯。
json-sse: JSON格式，经过打包以兼容server-sent事件。
short: 默认syslog类输出格式。
short-iso: 默认格式，强调显示ISO 8601挂钟时间戳。
short-monotonic: 默认格式，提供普通时间戳。
short-precise: 默认格式，提供微秒级精度。
verbose: 显示该条目的全部可用journal字段，包括通常被内部隐藏的字段

journalctl其它功能

查看日志占用的磁盘空间

journalctl --disk-usage
Archived and active journals take up 2.8G in the file system.

设置日志占用的空间

journalctl --vacuum-size=500M

设置日志保存时间

journalctl --vacuum-time=1month

journalctl清空删除日志

由于Linux是一个非常敏感的操作系统，若删除文件错误，很容易造成系统崩溃。

所以，清理journalctl日志的方法，请按日期、允许保留的容量进行删除。

journalctl --vacuum-time=2d
journalctl --vacuum-size=500M

其他日志命令

tail /var/log/messages            //系统主日志文件
tail -20 /var/log/messages        //查看20行日志文件
tail -f /var/log/messages         //动态查看日志文件的尾部
tail /var/log/secure              //认证、安全
tail /var/log/maillog             //跟邮件postfix相关
tail /var/log/cron                //crond、at进程产生的日志
tail /var/log/dmesg               //和系统启动相关
tail /var/log/audit/audit.log     //系统审计日志
tail /var/log/yum.log             //查看yum日志
tail /var/log/mysqld.log          //查看MySQL日志
tail /var/log/xferlog             //和访问FTP服务器相关
w /var/log/wtmp                   //当前登录的用户（命令：w）
last /var/log/btmp                //最近登录的用户（命令last)
lastlog /var/log/lastlog          //所有用户的登录情况（命令lastlog）

最后是journalctl命令帮助文档

journalctl [选项...] [匹配项...]

查询日志。

选项:
     --system                显示系统日志
     --user                  显示当前用户的用户日志
  -M --machine=CONTAINER     对本地容器进行操作
  -S --since=DATE            显示不早于指定日期的条目
  -U --until=DATE            显示不晚于指定日期的条目
  -c --cursor=CURSOR         从指定的游标开始显示条目
     --after-cursor=CURSOR   显示指定游标之后的条目
     --show-cursor           在所有条目后打印游标
     --cursor-file=FILE      显示文件中游标后的条目并更新文件
  -b --boot[=ID]             显示当前启动或指定的启动
     --list-boots            显示有关记录启动的简洁信息
  -k --dmesg                 显示当前启动的内核消息日志
  -u --unit=UNIT             显示指定单元的日志
     --user-unit=UNIT        显示指定用户单元的日志
  -t --identifier=STRING     显示具有指定syslog标识符的条目
  -p --priority=RANGE        显示具有指定优先级的条目
     --facility=FACILITY...  显示具有指定设施的条目
  -g --grep=PATTERN          显示与PATTERN匹配的MESSAGE的条目
     --case-sensitive[=BOOL] 强制进行大小写敏感或不敏感的匹配
  -e --pager-end             在分页器中立即跳到末尾
  -f --follow                跟踪日志
  -n --lines[=INTEGER]       要显示的日志条目数量
     --no-tail               即使在跟踪模式下也显示所有行
  -r --reverse               先显示最新的条目
  -o --output=STRING         改变日志输出模式 (short, short-precise,
                               short-iso, short-iso-precise, short-full,
                               short-monotonic, short-unix, verbose, export,
                               json, json-pretty, json-sse, json-seq, cat,
                               with-unit)
     --output-fields=LIST    在verbose/export/json模式下选择要打印的字段
     --utc                   以协调世界时(UTC)表示时间
  -x --catalog               在可用的地方添加消息解释
     --no-full               缩略字段
  -a --all                   显示所有字段，包括长和不可打印的
  -q --quiet                 不显示信息消息和权限警告
     --no-pager              不将输出管道输出到分页器
     --no-hostname           抑制主机名字段的输出
  -m --merge                 显示所有可用日志的条目
  -D --directory=PATH        显示来自目录的日志文件
     --file=PATH             显示日志文件
     --root=ROOT             在根目录下操作文件
     --namespace=NAMESPACE   显示指定命名空间的日志数据
     --interval=TIME         更改FSS密封键的时间间隔
     --verify-key=KEY        指定FSS验证键
     --force                 使用--setup-keys覆盖FSS密钥对
命令：
  -h --help                  显示此帮助文本
     --version               显示包版本
  -N --fields                列出当前使用的所有字段名称
  -F --field=FIELD           列出指定字段采取的所有值
     --disk-usage            显示所有日志文件的总磁盘使用量
     --vacuum-size=BYTES     将磁盘使用量减少到指定大小以下
     --vacuum-files=INT      只保留指定数量的日志文件
     --vacuum-time=TIME      删除早于指定时间的日志文件
     --verify                验证日志文件的一致性
     --sync                  将未写入的日志消息同步到磁盘
     --relinquish-var        停止记录到磁盘，记录到临时文件系统
     --smart-relinquish-var  类似，但如果日志目录在根挂载上，则无操作
     --flush                 将所有日志数据从 /run 刷新到 /var
     --rotate                请求立即旋转日志文件
     --header                显示日志头信息
     --list-catalog          在目录中显示所有消息ID
     --dump-catalog          显示消息目录中的条目
     --update-catalog        更新消息目录数据库
     --setup-keys            生成新的FSS密钥对