为什么使用二进制保存日志
以二进制格式集中记录时间有很多优点。
比如，可以根据需要转换为其他格式，例如纯文本或 JSON 格式。使用日期或时间过滤器跟踪日志事件也很容易。
此外，随着时间的推移，系统不断收集日志，日志文件的大小可能会达到 GB 级别，因此，对纯文本的日志进行分区可能会消耗大量内存并且出现延迟，在这种情况下，使用 journalctl 则可以通过过滤参数来加快查找过程。
journald 配置文件
配置文件路径：/etc/systemd/journald.conf
日志保存路径：/run/log/journal
通常来说，除非你明确的知道自己在修改什么功能，否则不建议修改这个文件，默认情况下，它工作得很好。
配置日志持久化
默认情况下，journald 会在每次重启时覆盖其日志。
如果需要配置永久保存日志，则需要单独设置。因为通常在系统上还有一个日志管理软件：rsyslog。
rsyslog 通过加载 journal 驱动来获取日志，并将日志保存到硬盘上（/var/log/messages）
所以默认情况下 journald 就不保存日志。
要让 journald 保存日志，需要将 /etc/systemd/journald.conf 中的 Storage=auto
修改为 Storage=persistent 然后重启 systemd-journald 服务
[root@localhost ~]# sed -i 's/Storage=auto/Storage=persistent/g' /etc/systemd/journald.conf
[root@localhost ~]# systemctl restart systemd-journald
当日志被永久保存后，可以使用以下命令来查看每一次系统启动的日志
[root@server ~]# journalctl --list-boots
0 030a3706f31147bcabdd7090d22ff297 Mon 2022-11-07 03:05:01 CST—Mon 2022-11-07 12:01:01 CST
该命令输出的第一列的数字表示可以查看的日志会话编号；第二列一长串的ID可用于查看单独的日志；第3、4列是写入日志的时间段。
配置日志大小限制
如果将 journald 配置为持久化保存，则默认情况下，日志大小限制为该文件分区的10%，最多可占用4GB磁盘空间。
可以通过修改参数 SystemMaxUse 参数来调整
清理日志/日志旋转
仅留下最近的 100MB 日志
journalctl --vacuum-size=100M
仅保留最近7天的日志
journalctl --vacuum-size=7d
基础命令
列出启动后所有日志
[root@localhost ~]# journalctl
执行该命令后，将列出从系统启动那一刻到现在的所有日志条目，包括错误和警告。
较旧的日志位于顶部，新的日志位于底部。
使用 PageUp 和 PageDown 进行移动， Enter 可以逐行滚动日志，按 q 退出
按日志级别显示日志
系统会记录不同日志级别的事件，有些事件是可以忽略的，有些则会影响系统，需要关注。
如果系统管理员只想查看错误日志而忽略其他日志，可以执行
[root@localhost ~]# journalctl -p emerg
系统中所有日志级别如下，严重程度从高到低
当用户指定日志级别代码时，将显示该级别以上的所有消息。
比如用户执行 journalctl -p 2 那么将会显示 0、1、2 级别的所有日志。
查看特定时间段的日志
支持诸如 “yesterday” “today” “now” 等关键字
使用 –since 选项，并指定特定日期，如：
journalctl --since "2022-11-07 12:00:00"
要指定某个时间段可以
journalctl --since "2022-11-06 12:00:00" --until "2022-11-07 12:00:00"
要查看昨天到现在的日志
journalctl --since yesterday
从今天上午9点开始，到1小时前的日志
journalctl --since 09:00 --until "1 hour ago"
查看内核日志
等同于 demsg 命令
journalctl -k
查看特定 systemd 服务的日志
使用 systemctl list-units –type=service 例出服务名
然后查看，比如查看 NetworkManager.service 的日志
journalctl -u NetworkManager.service
通过可执行文件查看应用日志
通过指定可执行文件来查看应用程序日志
[root@localhost ~]# journalctl /usr/sbin/httpd
-- Logs begin at Mon 2022-11-07 03:05:01 CST, end at Mon 2022-11-07 13:01:01 CST. --
Nov 07 04:58:28 server httpd[11771]: AH00558: httpd: Could not reliably determine the server's fully qualified domain name,[root@server ~]#
通过进程 PID 查看日志
journalctl _PID=1