Log-Aufbewahrung und Speicherplatzbudget auf einem Host: journald, logrotate und Grösse des Windows-Ereignisprotokolls

Worum es geht

Jeder Log-Speicher auf einem Host hat eine Grössenbegrenzung, die je nach Mechanismus anders festgelegt wird. journald.conf(5) dokumentiert SystemMaxUse= als die Einstellung, die begrenzt, wie viel Speicherplatz das persistente Journal unter /var/log/journal insgesamt belegen darf (Standard: 10 % des Dateisystems, höchstens 4G; die persistenten Limits gelten nur, wenn /var/log/journal existiert). Dazu kommen SystemKeepFree= (Standard 15 %, mit derselben Obergrenze), SystemMaxFileSize= sowie die zeitbasierten Optionen MaxRetentionSec= und MaxFileSec=, die Rotation und Alter unabhängig von der Grösse steuern. logrotate.conf(5) dokumentiert maxage: Die Option entfernt rotierte Logdateien, die älter als die angegebene Anzahl Tage sind, unabhängig vom ebenfalls konfigurierten rotate-Zähler. Somit können eine Anzahl- und eine Altersgrenze gleichzeitig gelten; das Alter wird allerdings nur bei der Rotation des Logs geprüft. Unter Windows setzt wevtutil sl <channel> /ms:<bytes> laut wevtutil-Dokumentation die maximale Grösse eines Ereignisprotokolls in Bytes. Danach wird das Protokoll je nach konfiguriertem Aufbewahrungsverhalten des Kanals entweder zyklisch überschrieben (älteste Ereignisse werden ersetzt) oder muss manuell geleert bzw. archiviert werden.

Warum es wichtig ist

Ein Log-Speicher, der unbemerkt vollläuft, nimmt entweder keine neuen Einträge mehr an oder beginnt, alte zu überschreiben. In beiden Fällen gehen genau die Belege verloren, die bei einem Vorfall benötigt werden. Die Festlegung dieser Limits ist eine Entscheidung der Kapazitätsplanung: Zu klein, und die Belege verschwinden, bevor sie jemand liest; zu gross, und die Logs konkurrieren mit den Anwendungen um Speicherplatz. Diesen Aspekt behandelt der Artikel zur Laufwerksgesundheit in dieser Reihe von der Speicherseite her.

Aufbewahrung als Compliance- oder Rechtsfrage – wie lange bestimmte Datensatztypen aufbewahrt werden müssen und unter welchen Zugriffskontrollen – ist eine Entscheidung der organisationseigenen Richtlinien und gegebenenfalls der Rechtsberatung. Dieser Artikel behandelt nur die technischen Einstellungen zur Speicherplatzplanung, nicht das, was eine Regulierung verlangt.

So wird es angewendet

• SystemMaxUse= in /etc/systemd/journald.conf (oder in einem Drop-in) auf einen festen, zur Partition passenden Wert setzen, z. B. SystemMaxUse=2G, mit systemctl restart systemd-journald übernehmen und die aktuelle Belegung mit journalctl --disk-usage prüfen; journalctl --vacuum-size=2G verkleinert archivierte Dateien sofort.
• Bei Dateien, die von rsyslog oder von Anwendungen geschrieben und von logrotate rotiert werden, in der betreffenden Datei unter /etc/logrotate.d/ rotate <N> (N Zyklen behalten) mit maxage <days> kombinieren, sodass Dateien durch diejenige Grenze entfernt werden, die zuerst erreicht wird.
• Bei Windows-Kanälen, die weitergeleitet oder lokal gehalten werden, die aktuelle Grösse prüfen und eine neue Obergrenze nicht interaktiv setzen: wevtutil gl Security zeigt den aktuellen Wert maxSize; wevtutil sl Security /ms:1073741824 (in einer Eingabeaufforderung mit erhöhten Rechten) setzt ihn auf 1 GiB. Laut Dokumentation werden Grössen auf Vielfache von 64 KB gerundet, das Minimum beträgt 1 MB.
• Alles, was einen Neuaufbau des Hosts überstehen muss, an einen entfernten Collector weiterleiten (siehe die Artikel dieser Reihe zur Weiterleitung mit rsyslog und journald), statt sich allein auf die lokale Aufbewahrung zu verlassen.

Stolpersteine

• Annehmen, ein grosser Wert für SystemMaxUse= bedeute, dass Logs ewig aufbewahrt werden; MaxRetentionSec= und knapper Speicherplatz können Einträge dennoch früher verdrängen.
• Den Modus eines Windows-Protokolls auf „bei Bedarf überschreiben“ setzen, ohne es zusätzlich weiterzuleiten; sobald die Grössengrenze erreicht ist, gehen alte Ereignisse ohne Warnung verloren.
• Eine dieser Einstellungen als Erfüllung einer Aufbewahrungsanforderung betrachten, ohne zu prüfen, was diese Anforderung tatsächlich vorschreibt.