Où les systèmes d'exploitation stockent leurs journaux et comment les interroger

Ce que c'est

« Consulter les journaux » désigne un stockage différent et une commande différente selon le système.

Système	Emplacement des journaux	Commande d'interrogation
Linux avec systemd	le journal binaire, plus les éventuels fichiers sous /var/log pour les services qui le contournent	journalctl -u NAME --since "1 hour ago"
Linux avec rsyslog	fichiers texte sous /var/log (syslog sur Debian/Ubuntu, messages sur RHEL ; fichiers par facility définis dans /etc/rsyslog.conf et /etc/rsyslog.d)	grep, less ; sur les hôtes systemd, rsyslog reçoit généralement ses messages du journal, donc journalctl les voit aussi
macOS	le journal unifié (unified log), un stockage binaire non visible sous forme de fichiers ordinaires	log show --predicate 'process == "NAME"' --last 1h, ou log stream pour suivre en direct
Windows	les canaux du service Event Log (Application, System, Security, plus des canaux propres à chaque application)	Get-WinEvent -FilterHashtable @{LogName='Application'; StartTime=(Get-Date).AddHours(-1)} (-LogName et -FilterHashtable ne peuvent pas être combinés)
AIX	le journal d'erreurs binaire (erreurs matérielles et logicielles) et, séparément, syslog s'il est configuré	errpt pour le journal d'erreurs ; pour syslog, tail -f sur le fichier indiqué dans /etc/syslog.conf (le fichier par défaut ne contient aucune règle active)
FreeBSD	fichiers texte sous /var/log, rotation par newsyslog, routage défini par /etc/syslog.conf	grep, less, ou tail -f /var/log/messages

Pourquoi c'est important

Les stockages binaires (le journal de systemd, le journal unifié de macOS, l'Event Log de Windows, le journal d'erreurs d'AIX) ne peuvent pas être lus avec grep ; chacun requiert son propre outil, et chaque outil a sa propre syntaxe de filtrage : un nom d'unité sous Linux, une expression de prédicat sous macOS, une table de hachage de filtres ou du XPath sous Windows. La journalisation en fichiers texte (rsyslog seul, FreeBSD, la plupart des journaux applicatifs sous AIX) est portable vers n'importe quel outil texte, mais perd les champs structurés que fournissent les stockages binaires, comme l'identifiant de démarrage (boot ID) du processus ou l'association exacte facility/sévérité.

Comment l'appliquer

• Identifier le stockage avant d'écrire une requête : le journalctl -u d'une unité de service et le tail d'un fichier simple ne sont pas interchangeables, et lancer la mauvaise commande sur le mauvais système ne renvoie silencieusement rien, sans aucune erreur.
• Borner chaque requête dans le temps (--since, --last, -FilterHashtable @{StartTime=...}) avant de la borner par le contenu ; une lecture de journal sans borne est la cause la plus fréquente de blocage d'un script d'agent ou de saturation de sa propre sortie.
• Sous macOS, log show et log stream doivent être exécutés depuis un compte administrateur ou avec sudo, et les arguments de message marqués comme privés apparaissent dans les deux cas sous la forme <private> ; il faut le prévoir dans les scripts non supervisés.
• Sous Windows, utiliser Get-WinEvent plutôt que l'ancien Get-EventLog : seul le premier lit les canaux propres à chaque application, et Get-EventLog n'existe pas dans PowerShell 7.

Pièges

• Supposer que errpt d'AIX est un journal applicatif général : c'est un journal d'erreurs matérielles et logicielles, et la plupart des démons tiers n'y écrivent pas leurs messages courants.
• Ne lire que /var/log/syslog sur un hôte systemd : Debian 12 et les versions ultérieures n'installent plus rsyslog par défaut, si bien que le fichier peut ne pas exister et que le journal est alors le seul stockage.
• Interroger le journal Security de Windows depuis une session non élevée : sa lecture exige des droits d'administrateur, et le script reçoit une erreur d'accès refusé, et non un résultat vide.