--since によるログ絞り込み

▶

この記事の要点

journalctl は systemd-journald が収集した全ログを横断検索する標準ツール
/var/log/messages や syslog の代替で、構造化フィールドで絞り込める
-u でユニット指定、-f でリアルタイム追跡、-p で優先度フィルタ
--since / --until で時間範囲を分秒指定可能
ディスクを圧迫する場合は SystemMaxUse の設定見直しが必要

概要

journalctl は systemd の中核を成すロギングデーモン systemd-journald が収集したログを参照・検索するコマンドです。従来の /var/log/messages、/var/log/syslog、各サービスの個別ログを集約し、バイナリ形式で時系列・構造化フィールド付きで保存します。tail/grep でログを追いかける時代から、journalctl で「ユニット名」「優先度」「時間範囲」を組み合わせて高速に絞り込む時代に変わったと考えてください。トラブルシュート時に最初に叩くべき定番ツールです。

基本構文

journalctl [OPTIONS] [MATCHES...]

引数なしで実行すると起動以来の全ログを less で表示します。MATCHES には _PID=1234、_SYSTEMD_UNIT=nginx.service のような key=value 形式の構造化フィルタが書けます。

主要オプション

オプション	意味
`-u UNIT`	特定ユニットだけ表示
`-f`	tail -f 相当のリアルタイム追跡
`-r`	新しい順に表示
`-n N`	直近 N 行のみ
`-p PRIORITY`	err / warning / info などで絞る
`--since / --until`	"2026-06-22 09:00:00" などで時間範囲指定
`-b`	今回ブートのログのみ。-b -1 は前回ブート
`-k`	カーネルメッセージのみ (dmesg 相当)
`--disk-usage`	ジャーナルが占有するディスク量
`--vacuum-time=2weeks`	2 週間以前のログを削除

実用例

# nginx のログをリアルタイム追跡
sudo journalctl -u nginx -f

# 直近 1 時間に発生したエラー以上のログ
sudo journalctl -p err --since "1 hour ago"

# 昨日 9 時から 12 時までのカーネルログ
sudo journalctl -k --since "2026-06-21 09:00" --until "2026-06-21 12:00"

# 今回起動以降の sshd ログ最新 100 行を新しい順
sudo journalctl -u sshd -b -n 100 -r

# ディスク使用量と削減
sudo journalctl --disk-usage
sudo journalctl --vacuum-time=7d

注意点・落とし穴

permanent 保存設定: デフォルトの一部ディストリビューションでは journal が tmpfs に保存され再起動で消えます。永続化は mkdir -p /var/log/journal で有効化。
ディスク圧迫: 高負荷サービスでは数 GB すぐ消費します。/etc/systemd/journald.conf の SystemMaxUse を 500M 〜 2G 程度に制限するのが定石。
時刻フォーマット依存: --since はロケール依存。安全なのは "YYYY-MM-DD HH:MM:SS" の ISO 風表記。
権限: 自分以外のサービスログは root か systemd-journal グループ所属が必要。
-b -1 が無いと言われたら永続化されていません (1)。

ページ一覧

その他

journalctl コマンドの使い方 | -u / -f / --since によるログ絞り込み

概要

基本構文

主要オプション

実用例

関連コマンドとの比較・組み合わせ

注意点・落とし穴

関連リンク

人気ページ

最近更新/作成されたページ