Generator konfiguracji logrotate

Konfiguracja logrotate z formularza

Logi rosną bez końca i mogą zapełnić dysk. logrotate dzieli je na archiwa, kompresuje i usuwa najstarsze – automatycznie i bez nadzoru. Konfiguracja logrotate to blok w osobnym pliku w /etc/logrotate.d/: ścieżka logów, a w nawiasach klamrowych dyrektywy. Generator składa taki blok z pól formularza, proponuje nazwę pliku i podaje gotowe polecenie testowe sudo logrotate -d.

Szablony Nginx, Apache i Aplikacja ustawiają ścieżkę oraz polecenie po rotacji (np. systemctl reload apache2), a szablon Tygodniowo zmienia częstotliwość na weekly z rotate 8. Ścieżka musi leżeć w /var/log/ i kończyć się na .log, liczba archiwów to 1–365, a polecenie postrotate to jedna linia. Pod wynikiem widać liczbę linii, przybliżony zakres historii, stan kompresji i ostrzeżenia, np. o gwiazdce w ścieżce bez sharedscripts.

Najważniejsze dyrektywy

Przykład

Wynik szablonu Nginx z domyślnymi opcjami i zaznaczonym sharedscripts:

Instalacja

Zapisz plik w /etc/logrotate.d/ pod nazwą, którą podpowiada generator (pierwszy katalog ścieżki, tu nginx), i sprawdź go poleceniem sudo logrotate -d /etc/logrotate.d/nginx (tryb debug). Plik testowany osobno nie dziedziczy ustawień globalnych, więc pełny test to logrotate -d /etc/logrotate.conf. Opcja -f wymusza rotację od razu i pozwala sprawdzić, czy polecenie z postrotate działa.

Pakiety Nginx i Apache w Debianie i Ubuntu instalują własny plik w /etc/logrotate.d/. Zastąp go albo edytuj – dwa bloki dla tych samych plików kończą się błędem zduplikowanego wpisu.

Jak działa rotacja i co właściwie generuje narzędzie

logrotate nie jest usługą działającą w tle. To program uruchamiany cyklicznie – przez cron lub timer systemd – który czyta konfigurację, sprawdza stan plików i wykonuje rotację tylko wtedy, gdy minął zadany okres. Każdy blok zaczyna się od ścieżki lub wzorca, na przykład /var/log/nginx/*.log, a w nawiasach klamrowych znajdują się dyrektywy opisujące, co zrobić z pasującymi plikami.

Bez dateext mechanizm rotacji to zmiana nazw: plik bieżący staje się plikiem numer 1, plik numer 1 – numerem 2 i tak dalej, aż do granicy wyznaczonej przez rotate N. Wszystko, co przekroczy tę granicę, jest usuwane. Dyrektywa rotate 14 oznacza więc, że obok pliku bieżącego leży maksymalnie 14 archiwów, czyli historia obejmuje 14 okresów rotacji. Przy daily daje to 14 dni, przy weekly – 14 tygodni. Na jeden rotowany log przypada zatem 15 plików: bieżący plus 14 archiwów. Z dateext archiwa dostają datę w nazwie (np. access.log-20261021), a limit rotate działa tak samo.

Generator składa gotowy blok z wybranych elementów: częstotliwości, liczby archiwów, opcjonalnego maxsize, kompresji, daty w nazwie, obsługi braku i pustego pliku, sposobu odtworzenia logu (create z uprawnieniami albo copytruncate) oraz polecenia w sekcji postrotate … endscript. Gdy zaznaczysz copytruncate, dyrektywa create jest pomijana, a delaycompress pojawia się tylko razem z compress. Wynik wklejasz do pliku w /etc/logrotate.d/, bo logrotate dołącza zawartość tego katalogu automatycznie. Nic nie jest zapisywane w systemie – to zwykły tekst do skopiowania i samodzielnego wdrożenia.

Przykład krok po kroku dla logów serwera WWW

1. Klikasz szablon Nginx: ścieżka zmienia się na /var/log/nginx/*.log, a polecenie po rotacji na systemctl reload nginx. Gwiazdka obejmuje jednocześnie access.log i error.log, więc oba pliki rotują się w tym samym bloku i w tym samym momencie.
2. Zostawiasz częstotliwość daily – jedna rotacja na dobę, w chwili uruchomienia logrotate przez cron lub timer systemd.
3. Zostawiasz rotate 14. Poza plikiem bieżącym pozostaje 14 archiwów, czyli 14 dni historii; łącznie na każdy log przypada maksymalnie 15 plików.
4. compress i delaycompress są włączone domyślnie. Archiwum numer 1 pozostaje przez jeden cykl nieskompresowane, a kompresowane są dopiero pliki od numeru 2 w górę – dzięki temu aplikacja, która wciąż pisze do świeżo zrotowanego pliku, nie traci danych.
5. missingok, notifempty i create 0640 www-data adm też są zaznaczone: brak pliku nie wywoła błędu, pusty log nie zostanie zrotowany, a nowy plik powstanie od razu z prawami 0640, właścicielem www-data i grupą adm.
6. W sekcji „Więcej opcji” zaznaczasz sharedscripts. Bez tego generator ostrzeże, że przy gwiazdce w ścieżce reload nginx wykona się osobno dla każdego pasującego pliku.
7. Kopiujesz wynik do /etc/logrotate.d/nginx i uruchamiasz sudo logrotate -d /etc/logrotate.d/nginx. Tryb debug wypisze planowane operacje, nie ruszając plików. Wynik: 14 dni historii, maksymalnie 15 plików na log i jeden reload po każdej rotacji.

Jak używać wygenerowanej konfiguracji

• Zaczynaj od logrotate -d. Tryb debug pokazuje, które pliki pasują do wzorca i co zostałoby zrotowane, nie zmieniając niczego na dysku. To najszybszy sposób wyłapania literówki w ścieżce.
• Liczbę archiwów dobieraj do częstotliwości, nie odwrotnie: daily z rotate 14 to 14 dni historii, weekly z rotate 8 to około 56 dni, monthly z rotate 12 to rok. Jeśli zależy ci na około miesiącu wstecz, przy weekly wystarczy rotate 4.
• Każda usługa powinna mieć osobny plik w /etc/logrotate.d/: jeden dla nginx, inny dla własnej aplikacji. Łatwiej wtedy zmienić lub usunąć konfigurację, nie ryzykując cudzych logów.
• Przy create z reloadem w postrotate nowy plik musi mieć właściciela i uprawnienia zgodne z tym, kto realnie do niego pisze. Inaczej usługa po rotacji nie zapisze już nic.
• copytruncate wybieraj tylko dla programów, które nie umieją ponownie otworzyć logu. Między skopiowaniem a wyzerowaniem pliku część wpisów z ułamka sekundy może zginąć.

Czego generator nie uwzględnia

• Tempa przyrostu logów. Narzędzie nie wie, ile danych przybywa w ciągu doby, więc nie dobierze liczby archiwów do wolnego miejsca. Bezpiecznikiem bywa maxsize, ale logrotate sprawdza rozmiar tylko wtedy, gdy jest uruchamiany – przy standardowym uruchomieniu raz na dobę maxsize nie zadziała częściej.
• Istnienia kont. Generator sprawdza tylko format uprawnień (3 lub 4 cyfry ósemkowe) i nazw; create 0640 www-data adm zadziała wyłącznie wtedy, gdy taki użytkownik i grupa istnieją w systemie.
• Uprawnień katalogu. Jeśli katalog z logami jest zapisywalny dla wszystkich albo dla grupy innej niż root, logrotate pominie go z komunikatem o niebezpiecznych uprawnieniach. Trzeba wtedy dopisać ręcznie dyrektywę su.
• Logów spoza /var/log/ i rzadszych dyrektyw. Ścieżkę w innym katalogu, prerotate, olddir czy wieloliniowy skrypt dopisujesz ręcznie po skopiowaniu wyniku.
• Kontekstu systemu: polityk SELinux lub AppArmor, kontenerów bez crona i pliku stanu logrotate, przez który rzeczywisty moment rotacji może odbiegać od deklarowanej częstotliwości.