Lire le journal d'erreurs AIX avec errpt et le relayer vers syslog

Ce que c'est

errpt lit le journal d'erreurs binaire d'AIX, le mécanisme natif d'AIX pour consigner les erreurs matérielles et logicielles, qui enregistre localement les défaillances afin de les détecter et de les corriger. Contrairement à syslog, ce journal est alimenté par le noyau et par des composants système via le sous-système de journalisation des erreurs, et non par des processus qui écrivent des lignes de texte. Il démarre très tôt au boot, en phase 3 (l'entrée brc /sbin/rc.boot 3, près du début de /etc/inittab), bien avant que rc.tcpip ne mette en place le réseau et, avec lui, syslogd. C'est pourquoi errpt peut capturer des défaillances matérielles survenant au démarrage, qu'un serveur syslog dépendant du réseau manquerait.

errpt seul affiche un résumé d'une ligne par événement ; errpt -a donne le détail complet de chaque entrée, et un filtre tel que -N hdisk0 (ressource) ou -d H (classe d'erreur) restreint le rapport. errclear (en root) supprime des entrées selon leur classe et leur ancienneté, par exemple les entrées des classes « S » (logiciel) et « O » (opérateur/errlogger) de plus de 30 jours, ou celles de la classe « H » (matériel) de plus de 90 jours.

Pourquoi c'est important

Considérer errpt comme facultatif au motif que « l'application journalise déjà dans syslog » revient à ignorer des défaillances invisibles pour la couche applicative : les événements de disques, d'adaptateurs et de firmware n'apparaissent que dans errpt, sauf s'ils sont explicitement relayés. À l'inverse, il ne faut jamais tronquer directement le fichier du journal d'erreurs (par exemple avec cp /dev/null) : cela désactive purement et simplement la journalisation des erreurs au lieu de simplement effacer les entrées, et IBM indique qu'il faut alors remplacer le fichier errlog de taille nulle. Épurez-le avec errclear ; pour le vider complètement, arrêtez le démon (/usr/lib/errstop), déplacez /var/adm/ras/errlog ailleurs, puis relancez /usr/lib/errdemon — tout l'historique est alors perdu.

Comment l'appliquer

• Consulter les événements récents : errpt pour un résumé, errpt -a pour le détail complet d'une entrée précise.
• Planifier la rétention plutôt que de purger ponctuellement : une entrée cron du type errclear -d S,O 30 et une autre, séparée, pour errclear -d H 90 empêchent le journal de grossir indéfiniment tout en conservant plus longtemps les traces matérielles récentes.
• Pour recopier les événements dans syslog, ajouter un objet Error Notification (une stanza errnotify chargée avec odmadd en root, rendue persistante par en_persistenceflg = 1) dont en_method appelle logger, plutôt que d'essayer de suivre directement le journal d'erreurs binaire avec un tail.
• Pour les autres journaux AIX hors errpt (messages de démons et d'applications), configurer /etc/syslog.conf comme sur toute implémentation syslog Unix, en gardant à l'esprit que syslog démarre plus tard au boot que la journalisation des erreurs.

Pièges

• Vider le journal d'erreurs avec une commande de troncature de fichier au lieu de errclear : la journalisation des erreurs reste désactivée tant que le fichier errlog n'est pas remplacé.
• Compter sur syslog seul pour capturer les défaillances de boot antérieures au réseau, que seul errpt voit.
• Filtrer le résumé d'une ligne avec grep au lieu d'utiliser les filtres propres à errpt (-d, -T, -N, -s/-e pour une plage horaire) et de lire errpt -a pour les entrées qui comptent.