23.8. Rsyslog를 사용한 구조화된 로깅

imjournal 모듈은 기본적으로 저널 파일을 읽는 Rsyslog의 입력 모듈입니다( 23.7절. “Rsyslog 및 journal의 상호 작용”참조). 그런 다음 journal 메시지는 다른 rsyslog 메시지로 텍스트 형식으로 기록됩니다. 그러나 추가 처리에서는 journal에서 제공하는 메타 데이터를 구조화된 메시지로 변환할 수 있습니다.

journal 에서 Rsyslog 로 데이터를 가져오려면 /etc/journal.conf에서 다음 구성을 사용하십시오.

module(load=”imjournal”
  PersistStateInterval=”number_of_messages”
  StateFile=”path”
  ratelimit.interval=”seconds”
  ratelimit.burst=”burst_number”
  IgnorePreviousMessages=”off/on”)

module(load=”imjournal”
  PersistStateInterval=”number_of_messages”
  StateFile=”path”
  ratelimit.interval=”seconds”
  ratelimit.burst=”burst_number”
  IgnorePreviousMessages=”off/on”)

module(load”imjournal”)
module(load”imuxsock”
  SysSock.Use=”off”
  Socket="/run/systemd/journal/syslog")

module(load”imjournal”)
module(load”imuxsock”
  SysSock.Use=”off”
  Socket="/run/systemd/journal/syslog")

journal에서 저장한 모든 데이터와 메타 데이터를 구조화된 메시지로 변환할 수 있습니다. 이러한 메타 데이터 항목 중 일부는 예 23.19. “자세한 journalctl 출력” 에 나열되며 저널 필드의 전체 목록은 systemd.journal-fields(7) 매뉴얼 페이지를 참조하십시오. 예를 들어 커널에서 시작되는 메시지에서 사용하는 커널 저널 필드에 중점을 둘 수 있습니다.

rsyslog의 구문 분석 모듈에 필요한 lumberjack 형식의 메시지를 생성하려면 다음 템플릿을 사용합니다.

template(name="CEETemplate" type="string" string="%TIMESTAMP% %HOSTNAME% %syslogtag% @cee: %$!all-json%\n")

template(name="CEETemplate" type="string" string="%TIMESTAMP% %HOSTNAME% %syslogtag% @cee: %$!all-json%\n")

이 템플릿은 @cee: 문자열을 JSON 문자열 앞에 추가하고, 예를 들어 omfile 모듈을 사용하여 출력 파일을 생성할 때 적용할 수 있습니다. JSON 필드 이름에 액세스하려면 $! 접두사를 사용합니다. 예를 들어 다음 필터 조건은 특정 호스트 이름 및 UID 가 있는 메시지를 검색합니다.

($!hostname == "hostname" && $!UID== "UID")

($!hostname == "hostname" && $!UID== "UID")

mmjsonparse 모듈은 구조화된 메시지를 구문 분석하는 데 사용됩니다.

이러한 메시지는 journal 또는 다른 입력 소스에서 가져올 수 있으며 Lumberjack 프로젝트에서 정의한 방식으로 포맷해야 합니다. 이러한 메시지는 @cee: 문자열이 있는 것으로 식별됩니다. 그런 다음 mmjsonparse 는 JSON 구조가 유효한지 확인하고 메시지가 구문 분석됩니다.

mmjsonparse 를 사용하여 lumberjack 형식의 JSON 메시지를 구문 분석하려면 /etc/journal.conf에서 다음 구성을 사용하십시오.

module(load”mmjsonparse”)

. :mmjsonparse:

module(load”mmjsonparse”)

. :mmjsonparse:

이 예제에서는 첫 번째 줄에 mmjsonparse 모듈이 로드되면 모든 메시지가 전달됩니다. 현재 mmjsonparse 에 사용할 수 있는 구성 매개변수가 없습니다.

rsyslog는 ommongodb 출력 모듈을 통해 MongoDB 문서 데이터베이스에 JSON 로그를 저장할 수 있습니다.

로그 메시지를 MongoDB로 전달하려면 /etc/journal.conf 에서 다음 구문을 사용하십시오( ommongodb 의 구성 매개 변수는 새 구성 형식으로만 사용 가능) 23.3절. “새 구성 형식 사용”를 참조하십시오.

module(load”ommongodb”)

. action(type="ommongodb" server="DB_server" serverport="port" db="DB_name" collection="collection_name" uid="UID" pwd="password")

module(load”ommongodb”)

. action(type="ommongodb" server="DB_server" serverport="port" db="DB_name" collection="collection_name" uid="UID" pwd="password")

최종 데이터베이스 출력 형식을 템플릿을 사용하여 셰이핑할 수 있습니다. 기본적으로 rsyslog 는 표준 lumberjack 필드 이름을 기반으로 하는 템플릿을 사용합니다.