現場実践｜Linuxログ管理

ログ管理の基礎
rsyslog・journalctlの使い方と読み方

「障害が起きたけどどのログを見ればいいかわからない」——Linuxログの種類・場所・読み方・フィルタリングまで、インフラエンジニアに必要なログ管理の基礎を解説します。

読了目安：約18分更新日：2026年3月

💡 ログは障害調査の「タイムマシン」。ログを正しく読めるかどうかが、障害解決時間を1時間から10分に短縮する分岐点になります。

この記事を書いた人

現役ITエンジニア・IT講師（経験14年）

CCNA・CCNP 取得LPIC-1 保有AzureFundamentals 保有SES現場を複数経験

インフラ運用・障害対応の現場経験から、Linuxログ管理の実践的な使い方を解説します。

📋 目次

主要ログファイルの場所
rsyslogの基礎
journalctlの使い方
ログの検索・フィルタリング
ログローテーション

1. 主要ログファイルの場所

ログファイル	内容	対象OS
/var/log/messages	システム全般のログ	CentOS/RHEL
/var/log/syslog	システム全般のログ	Ubuntu/Debian
/var/log/secure	SSH認証・suコマンドのログ	CentOS/RHEL
/var/log/auth.log	SSH認証・suコマンドのログ	Ubuntu/Debian
/var/log/nginx/	Nginxのアクセス・エラーログ	両OS
/var/log/cron	Cronジョブの実行ログ	両OS

2. rsyslogの基礎

また、rsyslogはLinuxの標準ログ収集デーモンです。/etc/rsyslog.confで「どのファシリティ・プライオリティのメッセージをどこに書くか」を定義します。

# /etc/rsyslog.conf の例
# kern（カーネル）のwarning以上を/var/log/kernに書く
kern.warning    /var/log/kern

# authのログを/var/log/secureに書く（CentOS）
auth,authpriv.* /var/log/secure

3. journalctlの使い方（systemd環境）

# 全ログを新しい順に表示
journalctl -r

# sshdのログのみ表示
journalctl -u sshd

# 特定日時以降のログ
journalctl --since "2026-03-01 09:00:00"

# エラー・クリティカルのみ表示
journalctl -p err

# リアルタイムでログを追跡（tail -fと同等）
journalctl -f

4. ログの検索・フィルタリング

# キーワードでフィルタリング
grep "Failed password" /var/log/secure

# 特定IPからの失敗ログを確認
grep "Failed password" /var/log/secure | grep "192.168.1."

# エラーの件数を集計
grep "error" /var/log/nginx/error.log | wc -l

# 直近100行を確認
tail -100 /var/log/messages