journalctl (systemd journal)

journalctl est l'outil CLI pour consulter les logs du journal systemd (systemd-journald), le système de logging structuré moderne sur la plupart des distros Linux modernes. Remplace progressivement syslog traditionnel (bien que rsyslog reste populaire).

Fonctionnalités : (1) **Stockage binaire** structuré (indexé, queryable rich metadata) ; (2) **Rotation automatique** par taille/durée ; (3) **Boot persistence** optional (`/var/log/journal/`) ou volatile (`/run/log/journal/`) ; (4) **Multi-source** — kernel, services systemd, syslog forwarded, applications utilisant journal API.

Commandes essentielles : (1) `journalctl` — all logs ; (2) `journalctl -u nginx.service` — par unit ; (3) `journalctl -u nginx --since '10 min ago'` — time filter ; (4) `journalctl -f` — follow (like tail -f) ; (5) `journalctl -p err` — priority (emerg, alert, crit, err, warning, notice, info, debug) ; (6) `journalctl -b` — current boot ; (7) `journalctl -b -1` — previous boot ; (8) `journalctl --list-boots` ; (9) `journalctl _PID=1234` — by PID ; (10) `journalctl --disk-usage` ; (11) `journalctl --vacuum-time=7d` — purge older than 7 days ; (12) `journalctl -o json-pretty` — JSON output.

Forwarding vers syslog : `/etc/systemd/journald.conf` `ForwardToSyslog=yes` (legacy compat), ou utiliser systemd-journal-remote pour centralized log collection. Modern : ship via Vector, Promtail (Loki), Fluentd, Filebeat. Compétences RHCSA, CKA.