安全地打开系统日志文件

Question

我有一个在 RHEL 6 上运行 syslog-ng（即将运行 rsyslog）的 syslog 服务器，几乎有 1000 台主机登录到它。我想编写一个脚本来打开每个文件（只读和当时 1 个），从中提取一些数据并关闭它们（可能在 Ruby 中）。这会弄乱系统日志或导致任何其他问题吗？我还需要注意哪些其他陷阱？

我主要担心的是系统日志试图将数据写入我打开的文件，即使我可能只打开了很短的时间（可能不到一秒）。

可能的 sudo 代码：

foreach file
  open $file
  grep "search sting" $file
  close $file

Answer 1

如果守护进程只附加到文件中，我认为没有风险。我会担心它正在删除/尝试。我认为这取决于您的守护进程的配置（与使用哪个守护进程无关），但我认为大多数配置实际上并没有删除数据。

删除通常使用 logrotate 和其他工具完成。我会查看这些工具的配置（例如，让它们在与您提到的脚本不同的时间运行）。