logrotate配置需用postrotate发送USR1/HUP信号通知日志服务重开文件，配合delaycompress、create权限及sharedscripts，避免手动脚本导致日志丢失；关键在不绕过logrotate而正确协同服务。
logrotate 配置文件怎么写才不会丢日志
直接手写脚本轮转日志风险高，logrotate 是 Linux 原生方案，稳定且支持原子操作。关键不是“能不能写脚本”，而是“要不要绕过 logrotate”。常见错误是脚本用 cp + truncate 或 mv 后清空 /var/log/messages，结果 syslog 进程还在往原 inode 写，导致日志丢失或文件句柄残留。
正确做法是让 logrotate 触发 kill -USR1（对 rsyslog）或 kill -HUP（对 syslog-ng），通知日志服务重开文件。配置示例：
/var/log/messages {
daily
missingok
rotate 30
compress
delaycompress
notifempty
create 644 root root
sharedscripts
postrotate
/usr/bin/kill -USR1 `cat /var/run/rsyslogd.pid 2>/dev/null` 2>/dev/null || true
endscript
}
-
delaycompress：留出一天缓冲，避免压缩和归档并发冲突 - 务必确认 PID 文件路径，
rsyslog默认是/var/run/rsyslogd.pid，syslog-ng是/var/run/syslog-ng.pid - 如果系统用
systemd-journald，logrotate不生效——它不写文件，得用journalctl --rotate配合--vacuum-size
手动归档脚本里 tar 命令怎么加参数才不漏权限和时间戳
用 tar 打包日志目录时，默认会丢掉原始文件的 mtime、atime 和属主信息，归档后无法还原日志时间线，排查问题时容易误判。必须显式加 --preserve（或简写 -p）和 --atime-preserve。
典型归档命令：
tar -czf /backup/logs_$(date +\%Y\%m\%d).tar.gz \
--preserve \
--atime-preserve=system \
-C /var/log \
messages secure yum.log
-
-C /var/log切工作目录，避免 tar 包含绝对路径，解压更安全 -
--atime-preserve=system：保留访问时间（部分场景需要），若只关心修改时间，可省略 - 不要用
tar -czf archive.tar.gz /var/log/messages—— 绝对路径会导致解压污染根目录
归档脚本执行时机和权限问题怎么避坑
脚本放在 cron 里跑，但默认环境变量缺失（比如 PATH 不含 /usr/sbin），logrotate 或 tar 可能找不到。更隐蔽的是权限：普通用户无法读 /var/log/secure，脚本必须以 root 身份运行。
- 在 crontab 中用
sudo crontab -e编辑 root 的定时任务，而不是普通用户 crontab 加sudo - 脚本开头强制设置环境：
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin - 检查输出重定向是否覆盖错误：
/path/to/script.sh >> /var/log/archive.log 2>&1，否则失败无声 - 测试脚本前先手动加
set -e，让任意命令失败立即退出，避免后续步骤误执行
压缩包命名和存储路径怎么设计才方便后期检索
归档名不能只用 log_$(date +%s)，秒级时间戳对人工排查不友好；也不能用 log_backup.tar.gz 这种固定名，每天覆盖导致历史丢失。核心是「可排序、带上下文、无歧义」。
- 推荐格式：
logs_，例如hostname_$(date +\%Y\%m\%d_\%H\%M).tar.gzlogs_web01_20240520_2359.tar.gz - 存储路径建议分年月两级：
/backup/logs/2024/05/logs_web01_20240520_2359.tar.gz，便于find /backup/logs -name "logs_web01_202405*.tar.gz"快速定位 - 别把归档包和原始日志放同一磁盘分区——日志暴增时可能挤爆空间，归档目录应挂载独立卷或远程 NFS
实际部署时最常被忽略的是日志服务与归档脚本的协同节奏：logrotate 按天切，脚本却按小时归档，或者反过来。确保两者时间窗口不重叠，且归档动作总在 logrotate 完成后触发，否则拿到的可能是正在被写入的半截文件。
