journalctlの基本的な動作

Fedoraのデフォルト設定ではsystemd-journaldは/var/log/journal以下にログ(ジャーナル)を保存する。journalctlはその下にあるファイルを読み出すだけである。

実際には/var/log/journalの直下には128bitのmachine-idを名前にもつディレクトリがあり、そのディレクトリの中にジャーナルが保存されている。machine-idは/etc/machine-idの中に書かれているので、ジャーナルは/var/log/journal/$(cat /etc/machine-id)/の下にある。こんな感じ。

$ ls -1 /var/log/journal/$(cat /etc/machine-id)/
system.journal
user-1000.journal

このあたりの処理はjournalctl自体ではなくてsd_journal_openというAPIがやってくれている。journalctlはそのAPIを呼ぶだけ。

上記例では、2つのファイルが保存されているが、ファイル名から推測できる通り、それぞれシステムログとユーザ毎のログである。デフォルトでは(権限があれば)、journalctlでは両方のログが混ざったものが表示される。--systemか--userオプションをつければどちらかだけを見ることもできる。(--userならば一般ユーザも自分のログを見ることができる、わけではないらしい。)