Linux日志管理需五步实操：一、标准化路径与命名，集中存放并嵌入服务名、环境及日期；二、用logrotate每日轮转并压缩90天日志；三、通过rsyslog将日志远程转发至专用服务器；四、启用journald持久化存储并限制1G空间，支持按服务及时段导出；五、设置ACL权限分级，限制非授权访问与删除。
在Linux系统长期运行过程中，日志文件会持续增长并分散于多个路径，若缺乏统一规划与周期性管理，极易导致磁盘空间耗尽、关键事件难以追溯、审计线索断裂等问题。以下是基于多年生产环境运维经验提炼出的日志管理实操方法：
一、标准化日志路径与命名规范
统一日志存放位置和文件命名可显著提升排查效率，避免因路径混乱或命名随意造成检索延迟。所有自定义服务日志应脱离默认/var/log下的混杂目录，集中归入结构化子目录，并嵌入服务名、环境标识与日期信息。
1、创建标准化日志根目录：sudo mkdir -p /var/log/production/nginx /var/log/production/redis /var/log/production/app。
2、修改Nginx配置，在http或server块中指定日志路径：access_log /var/log/production/nginx/access_$(hostname)_prod.log main;。
3、为systemd服务添加日志输出重定向：在对应.service文件的[Service]段加入StandardOutput=append:/var/log/production/app/webapp_stdout_$(hostname).log。
二、启用logrotate精细化轮转策略
logrotate是Linux下最稳定可靠的日志轮转工具，通过独立配置文件可对不同服务设置差异化策略，防止单个日志文件无限膨胀，同时保留可追溯的时间窗口。
1、为Nginx新建轮转配置：sudo tee /etc/logrotate.d/nginx-production 。
2、写入以下内容：/var/log/production/nginx/*.log { daily missingok rotate 90 compress delaycompress notifempty create 644 root root sharedscripts postrotate if [ -f /var/run/nginx.pid ]; then kill -USR1 `cat /var/run/nginx.pid` fi endscript }。
3、手动触发一次测试轮转：sudo logrotate -d /etc/logrotate.d/nginx-production（-d参数用于调试模式，不实际执行）。
三、配置rsyslog实现远程日志集中采集
本地日志存在单点丢失风险，将关键设施日志实时转发至专用日志服务器，可保障审计连续性，并支持跨节点关联分析。rsyslog具备低开销、高可靠性及丰富过滤能力，适合大规模部署。
1、在客户端编辑/etc/rsyslog.conf，取消注释并修改：$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat。
2、在/etc/rsyslog.d/50-remote.conf中添加转发规则：*.* @192.168.10.200:514;RSYSLOG_ForwardFormat（使用TCP协议）。
3、重启服务使配置生效：sudo systemctl restart rsyslog，并验证连接状态：sudo ss -tuln | grep :514。
四、部署journalctl持久化与按需导出机制
systemd-journald默认仅将日志保存在内存或易失性/run/log/journal中，重启后丢失。启用持久化存储后，可结合时间范围、服务单元、优先级等维度进行精准导出，替代传统文本日志的部分功能。
1、启用持久化日志存储：sudo mkdir -p /var/log/journal，然后执行sudo systemd-tmpfiles --create --prefix /var/log/journal。
2、限制日志最大占用空间：sudo sed -i '/^#SystemMaxUse=/c\SystemMaxUse=1G' /etc/systemd/journald.conf。
3、导出指定服务昨日全部日志：sudo journalctl -u sshd --since yesterday --until now --no-pager > /tmp/sshd_yesterday.log。
五、建立日志权限分级与访问控制清单
日志中常含敏感信息（如IP、路径、用户行为），必须依据最小权限原则限制读取范围，防止未授权访问或误操作删除。通过ACL与属组继承机制，可在不影响服务写入的前提下，精确控制运维人员读取权限。
1、为日志目录设置默认ACL：sudo setfacl -d -m g:logviewers:r-x /var/log/production。
2、将指定用户加入日志查看组：sudo usermod -a -G logviewers alice。
3、禁止非root用户删除日志文件：sudo chown root:logviewers /var/log/production && sudo chmod 750 /var/log/production。
