etc logrotate d cloud safe

/etc/logrotate.d/cloud-safe 是 Linux 系统中用于配置 cloud-safe 日志轮转策略的文件，通常由云安全相关服务（如主机入侵检测、日志审计工具）安装并维护，该文件定义了日志文件路径、轮转频率（如每日）、保留副本数、压缩选项及后处理脚本等，确保日志不会无限增长，兼顾可追溯性与磁盘空间管理。

看不见的运维红线,正在悄悄拖垮你的系统稳定性

在云原生环境日益普及的今天,企业上云已成常态，一个常被忽视的细节正悄然侵蚀着云主机的健康——日志堆积，许多运维人员直到磁盘使用率飙至98%、服务突然超时或容器莫名重启时，才匆忙排查，最终发现罪魁祸首竟是/var/log下悄然膨胀至数十GB的旧日志文件，云主机日志清理，远非“删几个文件”那么简单，它是一条关乎系统韧性、安全合规与成本效率的隐形运维红线。

日志为何会失控？根源在于默认配置的“善意遗忘”，主流Linux发行版（如CentOS Stream、Ubuntu 22.04）虽内置logrotate，但其默认策略往往仅按周轮转、保留4个归档，且不启用压缩与磁盘空间感知，当业务接口QPS激增、微服务频繁重试、或某段调试代码未及时下线，日志输出量可能呈指数级增长——1小时生成2GB Nginx access.log并非罕见，而云主机的根分区通常为弹性云盘（如阿里云ESSD、腾讯云CBS），虽可扩容，却无法自动释放已被删除但进程仍持有句柄的日志空间（典型如rsyslog、journalctl未重启导致inode残留），造成“磁盘已满但df显示仍有余量”的诡异现象。

更严峻的是安全与合规风险,未清理的访问日志中可能包含敏感路径、用户标识甚至临时token；系统审计日志（/var/log/secure、/var/log/audit/）若长期留存，不仅增加日志分析平台负担，更可能违反《GB/T 35273—2020 个人信息安全规范》中“日志存储期限不应超过6个月”的要求，某金融客户曾因审计日志留存超14个月，在等保2.0复评中被判定为高风险项。

如何构建可持续的日志清理机制？我们建议分三层落地：

第一层：前置约束，从源头控量。

  • 在应用层配置日志级别：生产环境禁用DEBUG，优先使用INFO+WARN；
  • Nginx/Apache中启用log_format精简字段，剔除X-Forwarded-For中冗余IP链；
  • 容器化部署时,通过docker run --log-opt max-size=10m --log-opt max-file=3 限制容器日志体积。

第二层：智能轮转，兼顾容量与追溯。
替代默认logrotate，采用带空间阈值触发的策略： 

    daily  
    missingok  
    rotate 7  
    compress  
    delaycompress  
    notifempty  
    create 0644 root root  
    # 关键：当磁盘使用率＞85%，立即强制轮转  
    prerotate  
        [ $(df / | awk 'NR==2 {print $5}' | sed 's/%//') -gt 85 ] && /usr/sbin/logrotate -f /etc/logrotate.conf  
    endscript  
}

对systemd-journald启用持久化并设硬限制：编辑 /etc/systemd/journald.conf，设置 SystemMaxUse=512M、MaxRetentionSec=30d，避免journal占满根分区。

第三层：闭环监控，让清理可度量。
单纯执行脚本不够，需建立反馈回路：

  • 每日巡检脚本检查 /var/log 下单文件＞100MB的异常项，并邮件告警；
  • 在Prometheus+Grafana中新增指标 disk_used_percent{mountpoint="/", instance=~".*cloud.*"}，联动Alertmanager设置80%预警、90%阻断（自动触发清理job）；
  • 对关键业务日志（如支付网关日志），采用ELK或Loki做冷热分离——热数据（7天）存SSD，冷数据（30天）自动归档至对象存储（OSS/COS），既满足审计要求，又规避本地存储瓶颈。

最后提醒：切忌使用 rm -rf /var/log/* 等暴力操作，这可能导致syslog服务崩溃、auditd丢失审计能力，甚至引发内核panic，真正的运维成熟度，体现在对“删”字的敬畏——每一次清理，都应有策略、有验证、有留痕。

云主机不会因日志而崩溃,但会因日志管理的失序而慢性死亡，当你的监控大屏上不再闪烁“磁盘告警”，当故障复盘时能快速定位到3小时前的精确日志切片，你便握住了那根看不见却至关重要的运维红线。（全文1726字）