> Нет. Для этого придумали logrotate, который успешно gzip-ит (bzip-ит, xz-ит, на ваш
> выбор) логи уже пару десятков лет. Если хочется, то в обычном
> rsyslog-е есть потоковое сжатие, чтобы писать логи сразу в сжатом формате,
> для экономии места. Идея бинарных логов была в том, чтобы превратить
> их в базу данных, по которой можно делать быстрый поиск, типа
> "выдайте мне лог такой-то программы за такое-то число". В ответ ему,
> кажется, автор rsyslog-а писал, что для этого не нужен бинарный формат,
> есть уже куча готовых программ, которые можно цеплять на обычный syslog,
> они его проиндексируют, и даже в базу данных могут сложить (навскидку
> GrayLog2, ElasticSearch, Solr...)Все эти костыли по-своему замечательны, но проблем дизайна протокола syslog они не решают. Наиболее паршивых проблем две:
1. Неструктурированная запись. syslog by design ориентирован на человека, а не на машинный парсинг, поэтому вместо структурированной записи с именами полей, получается одна текстовая строчка, которую в общем случае может понять только человек. Такое вот сжатие с потерями. В то время как в Journal это сжатие происходит не на стадии записи лога, а на стадии выдачи его человеку. При необходимости, и программы, и человек могут использовать полезную информацию о структуре записи (например, искать сообщения по UUID).
2. Недоверенная информация. В syslog может писать кто угодно и что угодно. Даже из-под nobody можно написать туда такого, что админ будет месяц разбираться.
В UNIX эту проблему решили много лет назад, введя специальный защищенный бинарный лог (BSM). Так появилась инфраструктура аудита.
Но вопросы структурирования, индексирования информации, быстрого поиска по ней и т.д. актуальны не только для событий безопасности, но и для всех системных событий, так что появление Journal было неизбежно.
> а при переходе на systemd геморроя много, а толку нет.
С точки зрения диванного теоретика - да :)
> понятное дело, что для людей, которые в возне с линуксом проводят свой
> досуг, systemd может быть интересен, но для индустрии это жуть.
А вот тырпрайз-админы с нетерпением ожидают RHEL/CentOS/OL 7. В основном из-за Journal, конечно.
> Поттеринг меня раздражает.
Ну и опять поток сознания какого-то хипстера. Скучища...
