journalctl vacuum-size 清理日志的保留策略

服务器磁盘告急时，journalctl --vacuum-size=1G 确实可以删除较老的归档日志，但它不是“把 journal 总占用立即压到 1G”的硬开关。systemd 官方说明里，--vacuum-size 只处理 archived journal files；当前仍在写入的活动文件会被 --disk-usage 统计，却不会被这一步直接删除。

实用做法是先看占用，再用 journalctl --rotate --vacuum-size=1G 把活动文件转成归档文件后一起清理；如果希望重启后仍自动控制空间，就把 SystemMaxUse=、SystemKeepFree= 或 MaxRetentionSec= 写入 journald 配置，而不是只依赖一次手工命令。

journalctl 官方手册：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

journald.conf 官方手册：https://www.freedesktop.org/software/systemd/man/latest/journald.conf.html

先分清当前占用和可清理对象

我处理日志占盘时，第一步不会直接删除文件，而是先建立两个判断：现在看到的空间有多少属于 journal，命令准备清理的又是哪一部分。journalctl --disk-usage 会统计活动文件和归档文件；--vacuum-size、--vacuum-time、--vacuum-files 的对象则是归档文件。

因此“命令执行成功但占用仍高”并不矛盾。活动文件还在被 journald 使用，清理器不会为了达到数字目标强行删除它。只有当文件被轮换为 archived 状态后，容量、时间和文件数规则才有机会把它纳入清理范围。

用 rotate 加 vacuum-size 完成一次容量清理

临时释放空间时，可以先查看现状，再执行带轮换的容量清理：

# 先记录 journal 当前统计值，便于和清理后的观察值对照
journalctl --disk-usage

# 先轮换活动文件，再删除最旧的归档文件，目标是归档部分不超过 1G
sudo journalctl --rotate --vacuum-size=1G

# 再次查看统计；若仍高于 1G，优先考虑活动文件和其它日志来源
journalctl --disk-usage

容量后缀使用二进制单位，常见写法有 K、M、G 和 T。--rotate 会先让当前活动文件结束写入并创建替代文件，所以这条组合命令比单独执行 vacuum 更容易让本次清理覆盖“刚刚产生的”日志。

但它仍是一次性动作：系统继续产生日志后，空间还会增长。生产机器上，手工清理前要确认最近日志是否仍是排障或审计所需，尤其不要把“磁盘紧张”简单等同于“所有旧日志都可以删除”。

把临时清理变成 journald 保留策略

如果目标是长期控制空间，应使用 journald.conf 的容量边界。持久化日志位于 /var/log/journal 时，重点看 SystemMaxUse=、SystemKeepFree=、SystemMaxFileSize= 和 SystemMaxFiles=；运行时日志位于 /run/log/journal 时，对应的是 Runtime* 配置。journald 会同时尊重最大使用量和必须保留的空闲空间，实际采用更小的限制。

# /etc/systemd/journald.conf.d/60-retention.conf
# 给持久化日志设容量上限，并为系统其它文件保留磁盘空间
[Journal]
SystemMaxUse=2G
SystemKeepFree=4G

# 只有确有合规或排障需要时才增加按时间保留规则
MaxRetentionSec=30day

修改后可用 sudo systemctl restart systemd-journald 让服务重新读取配置。配置文件的目标是约束后续写入和轮换，不应把它理解为一次性立即删除所有超额历史；活动文件以及文件系统本身的剩余空间都会影响最终占用。

按故障场景组合容量、时间和文件数

三个 vacuum 参数解决的是不同问题，可以按场景组合，但不要把它们误认为三种互相替代的配置：

# 容量和时间同时设限，保留策略取两者共同约束的结果
sudo journalctl --rotate --vacuum-size=2G --vacuum-time=14days

# 只在明确需要控制文件数量时再增加文件数限制
sudo journalctl --rotate --vacuum-files=20

排障主机通常先选容量上限，避免磁盘失控；有审计周期的环境再考虑时间上限；文件数量更适合限制大量小文件带来的管理成本。参数为零表示不启用该项，混用前应先明确要保留的是空间、时间还是文件粒度。

检查配置范围与验收重点

最后检查四件事：日志究竟写在 /var/log/journal 还是 /run/log/journal；配置项属于 System* 还是 Runtime*；清理结果是否只是归档部分下降；以及最近一段关键故障日志是否仍可读取。不要只看一次 --disk-usage 的数字，就断言所有保留策略都已生效。

建议把容量清理写入值班手册：先保存统计值，明确本次允许的最早日志时间，再执行带 --rotate 的命令，最后记录新的统计值和配置文件位置。这样既能处理紧急磁盘压力，也能避免每次都凭感觉删除历史。

相关问题

为什么 vacuum-size 后磁盘仍超过目标值？ 因为目标作用于归档 journal 文件，而活动文件也会被 --disk-usage 统计。

SystemMaxUse 和 RuntimeMaxUse 有什么区别？ 前者约束持久化文件系统上的日志，后者约束运行时内存文件系统上的日志，实际要看日志目录是否启用持久化。

只设置 MaxRetentionSec 就够了吗？ 不一定。它解决时间边界，容量和文件数仍可能需要单独设置，具体取决于磁盘预算和排障要求。