Définition
journalctl consulte les événements enregistrés dans le journal systemd, notamment les messages du noyau et des services lorsque journald les collecte.
Fonctionnement et architecture
Utiliser journalctl -u ssh pour un service, -b pour le démarrage courant, -p err pour filtrer par priorité et -f pour suivre les événements. Les droits déterminent quels journaux sont accessibles et la persistance dépend de la configuration de journald.
Exemple pratique
Pour diagnostiquer un serveur qui redémarre, journalctl -b -1 peut afficher le démarrage précédent si les journaux ont été conservés. Comparer les horodatages avec les interventions ou les alertes permet de construire une chronologie fiable.
Limites et bonnes pratiques
Éviter de vider le journal avant la collecte des preuves. Régler la taille et la rétention selon la capacité du disque, synchroniser l’horloge via NTP et prévoir une centralisation sécurisée pour une analyse après incident.