# journalctl

# 1. 基础用法

$ journalctl

查看本次启动的所有日志也可以使用

$ journalctl -b

$ journalctl -k

通过--since和--until选项，可以过滤任意时间限制，显示指定条件之前、之后或之间的日志。

$ journalctl --since="2018-09-21 10:21:00"

查询一个时间段范围内的日志。

$ journalctl --since="2018-09-21 10:21:00" --until="2018-09-21 10:22:00"

$ journalctl -u kubelet.service
$ journalctl -u kubelet

1
2

如果进程使用了systemd托管日志，则可以通过以下命令查找进程对应的日志。

$ journalctl _PID=1

Systemd journal 有很多可以用来过滤的字段，可以通过 man systemd.journal-fields 查看所有可以用来过滤的字段。对于用来筛选的字段，可以使用-F参数来查看所有可以用来过滤的值，例如journalctl -F _PID。

操作系统提供了从0 (emerg) 到 7 (debug) 一共7个级别的日志，可以配合-p参数分别查看对应级别的日志。

$ journalctl -p 5 -u kubelet

7个级别的含义为

0: emerg
1: alert
2: crit
3: err
4: warning
5: notice
6: info
7: debug

默认情况，journal输出进入分页模式，用户可以在终端上调整显示的内容，如果要不需要分页，需要加上--no-pager参数。

以Json格式输出

$ journalctl -p 5 --no-pager -o json

通过-o参数，可以设置为json格式输出，这对于其他接收json格式的日志分析工具非常友好。

$ journalctl -p 5 --no-pager -o json-pretty

使用json-pretty则对于管理员查看日志非常易读。

支持的各种格式如下：

journalctl也支持类似tail的功能，如通过-n参数指定显示最近的多少行，默认为10行，通过-f参数持续监控日志输出。

$ journalctl --disk-usage
Archived and active journals take up 8.0M on disk.

1
2

$ journalctl --vacuum-size=500M
Vacuuming done, freed 0B of archived journals on disk.

1
2

$ journalctl --vacuum-time=1month
Vacuuming done, freed 0B of archived journals on disk.

1
2

上面的一些维护动作，也可以通过配置参数设置，配置文件位于/etc/systemd/journald.conf。