linux - 安全地打开系统日志文件

Question

我有一个在 RHEL 6 上运行 syslog-ng(即将运行 rsyslog)的系统日志服务器，几乎有 1000 台主机记录到它。我想写一个脚本来打开每个文件(只读，当时是 1 个)，从中提取一些数据并关闭它们(可能在 Ruby 中)。这会弄乱系统日志或导致任何其他问题吗？我可能需要注意哪些其他陷阱？

我主要担心的是 syslog 试图将数据写入我打开的文件，即使我可能只打开它很短的时间(可能不到一秒)。

可能的 sudo 代码:

foreach file
  open $file
  grep "search sting" $file
  close $file

Answer 1

如果守护进程只附加到文件，我认为没有风险。它正在删除/尝试我会担心的。我认为这取决于您的守护程序的配置(与使用哪个守护程序无关)，但我认为大多数配置实际上不会删除数据。

删除通常使用 logrotate 和其他工具来完成。我会查看这些工具的配置(例如，让它们在与您提到的脚本不同的时间运行)。