Lendo o log de erros do AIX com errpt e encaminhando-o para o syslog

O que é

O errpt lê o log de erros binário do AIX, que é o recurso padrão do sistema para registrar falhas de hardware e software localmente, para que possam ser detectadas e corrigidas. Ao contrário do syslog, esse log é alimentado pelo kernel e por componentes do sistema por meio do subsistema de registro de erros, e não por processos que gravam linhas de texto. Ele é iniciado muito cedo no boot, na fase 3 (a entrada brc /sbin/rc.boot 3, perto do início de /etc/inittab), bem antes de o rc.tcpip ativar a rede e, com ela, o syslogd. Por isso o errpt consegue capturar falhas de hardware durante o boot que um servidor syslog dependente de rede não registraria.

O errpt sem argumentos lista um resumo de uma linha por evento; o errpt -a mostra todos os detalhes de cada entrada, e um filtro como -N hdisk0 (recurso) ou -d H (classe de erro) restringe o relatório. O errclear (como root) remove entradas por classe de erro e idade, por exemplo apagando entradas das classes "S" (software) e "O" (operador/errlogger) com mais de 30 dias, ou entradas "H" (hardware) com mais de 90 dias.

Por que importa

Tratar o errpt como opcional porque "a aplicação já registra no syslog" ignora falhas que a camada de aplicação não enxerga: eventos de disco, adaptador e firmware aparecem apenas no errpt, a menos que sejam encaminhados explicitamente. Por outro lado, nunca trunque diretamente o arquivo do log de erros (por exemplo com cp /dev/null): isso desativa por completo a função de registro de erros, em vez de apenas limpar as entradas, e a IBM observa que um arquivo errlog de tamanho zero precisa então ser substituído. Use o errclear para reduzir o log; para esvaziá-lo totalmente, pare o daemon (/usr/lib/errstop), mova /var/adm/ras/errlog para outro lugar e reinicie o /usr/lib/errdemon. Todo o histórico é perdido.

Como aplicar

• Revise os eventos recentes: errpt para um resumo e errpt -a para os detalhes completos de uma entrada específica.
• Agende a retenção em vez de limpar o log de forma improvisada: uma entrada de cron como errclear -d S,O 30 e outra separada para errclear -d H 90 impedem que o log cresça sem limite e mantêm por mais tempo as evidências recentes de hardware.
• Para replicar eventos no syslog, adicione um objeto de Error Notification (um stanza errnotify carregado com odmadd como root, persistente com en_persistenceflg = 1) cujo en_method chame logger, em vez de tentar acompanhar o log de erros binário diretamente com tail.
• Para os demais logs do AIX fora do errpt (mensagens de daemons e aplicações), configure o /etc/syslog.conf como em qualquer implementação de syslog Unix, lembrando que ele é iniciado mais tarde no boot do que o registro de erros.

Armadilhas

• Limpar o log de erros com um comando de truncamento de arquivo em vez do errclear, o que desativa o registro de erros até que o arquivo errlog seja substituído.
• Esperar que apenas o syslog capture falhas de boot anteriores à rede, que só o errpt enxerga.
• Usar grep no resumo de uma linha em vez de usar os filtros do próprio errpt (-d, -T, -N, -s/-e para um intervalo de tempo) e de ler o errpt -a das entradas relevantes.