Rétention des journaux et budget disque sur un hôte : journald, logrotate et dimensionnement du journal d'événements Windows

Ce que c'est

Chaque magasin de journaux d'un hôte a une limite de taille, définie différemment selon le mécanisme. La page de manuel journald.conf(5) documente SystemMaxUse= comme le paramètre qui plafonne l'espace disque total que peut occuper le journal persistant situé sous /var/log/journal (par défaut 10 % du système de fichiers, plafonné à 4G ; les limites persistantes ne s'appliquent que si /var/log/journal existe). Des paramètres voisins complètent ce réglage : SystemKeepFree= (par défaut 15 %, avec le même plafond), SystemMaxFileSize=, ainsi que MaxRetentionSec= et MaxFileSec=, qui pilotent la rotation et l'ancienneté indépendamment de la taille. logrotate.conf(5) documente maxage, qui supprime les fichiers de journaux archivés plus anciens qu'un nombre de jours donné, quel que soit le nombre rotate également configuré ; une limite de nombre et une limite d'âge peuvent donc s'appliquer ensemble, mais l'âge n'est vérifié qu'au moment de la rotation du journal. Sous Windows, wevtutil sl <channel> /ms:<bytes> définit la taille maximale d'un journal d'événements en octets, d'après la documentation de wevtutil. Une fois cette taille atteinte, le journal soit écrase les événements les plus anciens (mode circulaire), soit exige un effacement ou un archivage manuel, selon le comportement de rétention configuré pour le canal.

Pourquoi c'est important

Un magasin de journaux qui se remplit sans bruit cesse d'accepter de nouvelles entrées ou commence à écraser les anciennes ; dans les deux cas, il perd justement les preuves dont on a besoin lors d'un incident. Dimensionner ces limites est une décision de planification de capacité : trop petites, les preuves disparaissent avant que quiconque les lise ; trop grandes, les journaux se disputent l'espace disque avec les applications, point que l'article de cette série sur la santé des disques traite du côté du stockage.

La rétention en tant qu'obligation de conformité ou obligation légale (combien de temps certains types d'enregistrements doivent être conservés et sous quels contrôles d'accès) relève de la politique propre à l'organisation et, le cas échéant, de ses conseils juridiques. Cet article ne couvre que les réglages mécaniques du budget disque, pas ce qu'exige une réglementation quelconque.

Comment l'appliquer

• Définir SystemMaxUse= dans /etc/systemd/journald.conf (ou dans un fichier drop-in) avec une valeur fixe adaptée à la partition, par exemple SystemMaxUse=2G, l'appliquer avec systemctl restart systemd-journald et vérifier l'utilisation actuelle avec journalctl --disk-usage ; journalctl --vacuum-size=2G réduit immédiatement les fichiers archivés.
• Pour les fichiers écrits par rsyslog ou par des applications et soumis à la rotation de logrotate, combiner rotate <N> (conserver N cycles) et maxage <days> dans le fichier concerné de /etc/logrotate.d/, afin que les fichiers soient supprimés dès que l'une des deux limites est atteinte.
• Pour les canaux Windows transmis à distance ou conservés en local, vérifier la taille actuelle puis définir un nouveau plafond de façon non interactive : wevtutil gl Security affiche la valeur actuelle de maxSize ; wevtutil sl Security /ms:1073741824 (invite de commandes élevée) la fixe à 1 Gio ; d'après la documentation, les tailles sont arrondies à un multiple de 64 Ko, avec un minimum de 1 Mo.
• Transférer vers un collecteur distant tout ce qui doit survivre à une reconstruction de l'hôte (voir les articles de cette série sur la redirection avec rsyslog et journald), plutôt que de s'appuyer uniquement sur la rétention locale.

Pièges

• Croire qu'une valeur élevée de SystemMaxUse= signifie que les journaux sont conservés indéfiniment ; MaxRetentionSec= et la pression sur le disque peuvent encore évincer des entrées plus tôt.
• Régler un journal Windows sur « écraser les événements si nécessaire » sans le transférer par ailleurs : les anciens événements sont perdus sans avertissement dès que le plafond de taille est atteint.
• Considérer l'un de ces réglages comme suffisant pour satisfaire une exigence de rétention sans vérifier ce que cette exigence prescrit réellement.