journalctl 顯示未回收的非常舊的靴子

該系統有非常舊的靴子（2 和 3 歲），它們沒有被回收，我無法用吸塵器吸塵：

$ journalctl --list-boots --no-pager
-16 53baf678f0d749d6b390afea4a3ef96b Wed 2014-04-02 22:07:26 IDT—Wed 2014-04-02 22:46:08 IDT
-15 60a54132f5c8450d9b33a77819a037d1 Thu 2014-04-03 00:04:50 IDT—Thu 2014-04-03 12:30:21 IDT
-14 24b65a7e589d4479bf5020b98b8120b7 Wed 2015-04-01 03:10:01 IDT—Wed 2015-04-01 08:35:21 IDT
-13 43398d6d74c849bcb359a2d3963f4aaa Wed 2015-04-08 00:26:31 IDT—Wed 2015-04-08 00:26:31 IDT
-12 51b28f394cbb4699b2c4098297f73b2e Mon 2017-07-24 18:28:02 IDT—Mon 2017-07-24 19:08:37 IDT
-11 67467a640fb5413189f9cd518a56f668 Tue 2017-07-25 01:21:00 IDT—Mon 2017-07-24 22:54:40 IDT
-10 1370875e2f2c4b3c80c82901367b0835 Tue 2017-07-25 03:05:18 IDT—Tue 2017-07-25 01:18:51 IDT
-9 462c24a6b4cd487c834e121240bb880c Tue 2017-07-25 13:16:02 IDT—Tue 2017-07-25 18:50:32 IDT
-8 970d61bd3a6f455bb67a7a77c788b930 Wed 2017-07-26 00:01:58 IDT—Wed 2017-07-26 02:37:09 IDT
-7 dc33b354faa64c7c981da25eb9b77bde Wed 2017-07-26 12:45:04 IDT—Wed 2017-07-26 17:01:02 IDT
-6 1bb69b41c09c40aea412714b09678cf2 Wed 2017-07-26 20:01:12 IDT—Wed 2017-07-26 18:43:34 IDT
-5 9a6ed1de771d4056b8be15409dfe06f4 Wed 2017-07-26 23:18:25 IDT—Tue 2017-08-01 00:04:56 IDT
-4 e3eba22761bc470ca9bd1d9004478ad1 Tue 2017-08-01 13:12:55 IDT—Tue 2017-08-01 18:40:22 IDT
-3 02d288fc10714e0592b24ea1cbaf60e4 Tue 2017-08-01 23:00:01 IDT—Wed 2017-08-02 01:29:53 IDT
-2 3230c51e8792424aaec920fa15fa96c0 Wed 2017-08-02 12:54:43 IDT—Wed 2017-08-02 18:09:52 IDT
-1 10621f49412c43cf976ab30555e6eb36 Wed 2017-08-02 22:37:36 IDT—Wed 2017-08-02 20:22:57 IDT
0 d2e38bd2d96b4027ac14e132638561fb Wed 2017-08-02 23:23:07 IDT—Thu 2017-08-03 00:03:01 IDT

我試著按時間吸塵：

$ sudo journalctl --vacuum-time=1years

但是什麼都沒有被刪除。

我按文件試過：

$ sudo journalctl --vacuum-files=12

Deleted archived journal /var/log/journal/b78deda26d9b4740a6bc52f31d993baf/system@412dc1544fb841d4909752bffd03e810-0000000000000001-00055511dc545ff3.journal (16.0M).
Deleted archived journal /var/log/journal/b78deda26d9b4740a6bc52f31d993baf/user-1000@15238a40d91c40fabe10b0bec7f53a23-00000000000009ef-0005550f5956d667.journal (25.0M).
Deleted archived journal /var/log/journal/b78deda26d9b4740a6bc52f31d993baf/system@412dc1544fb841d4909752bffd03e810-000000000000b685-00055528569c7855.journal (16.0M).
Deleted archived journal /var/log/journal/b78deda26d9b4740a6bc52f31d993baf/user-1000@15238a40d91c40fabe10b0bec7f53a23-000000000000b5cd-0005552854d417fd.journal (25.0M).
Vacuuming done, freed 82.0M of archived journals on disk.

它刪除了一些靴子，但不是我預期的：

$ journalctl --list-boots --no-pager
-9 53baf678f0d749d6b390afea4a3ef96b Wed 2014-04-02 22:07:26 IDT—Wed 2014-04-02 22:46:08 IDT
-8 60a54132f5c8450d9b33a77819a037d1 Thu 2014-04-03 00:04:50 IDT—Thu 2014-04-03 12:30:21 IDT
-7 24b65a7e589d4479bf5020b98b8120b7 Wed 2015-04-01 03:10:01 IDT—Wed 2015-04-01 08:35:21 IDT
-6 43398d6d74c849bcb359a2d3963f4aaa Wed 2015-04-08 00:26:31 IDT—Wed 2015-04-08 00:26:31 IDT
-5 9a6ed1de771d4056b8be15409dfe06f4 Wed 2017-07-26 23:23:00 IDT—Tue 2017-08-01 00:04:56 IDT
-4 e3eba22761bc470ca9bd1d9004478ad1 Tue 2017-08-01 13:12:55 IDT—Tue 2017-08-01 18:40:22 IDT
-3 02d288fc10714e0592b24ea1cbaf60e4 Tue 2017-08-01 23:00:01 IDT—Wed 2017-08-02 01:29:53 IDT
-2 3230c51e8792424aaec920fa15fa96c0 Wed 2017-08-02 12:54:43 IDT—Wed 2017-08-02 18:09:52 IDT
-1 10621f49412c43cf976ab30555e6eb36 Wed 2017-08-02 22:37:36 IDT—Wed 2017-08-02 20:22:57 IDT
0 d2e38bd2d96b4027ac14e132638561fb Wed 2017-08-02 23:23:07 IDT—Thu 2017-08-03 00:09:37 IDT

2014年和2015年的那些老靴子怎麼擺脫？為什麼要保存它們？

---

更新

根據 derobert 的建議，列出目錄返回以下內容：

$ ls -lt /var/log/journal/b78deda26d9b4740a6bc52f31d993baf/ | tail
-rw-r-----+ 1 root systemd-journal 26214400 Aug  2 22:44 user-1000@15238a40d91c40fabe10b0bec7f53a23-0000000000026307-000555aff155c595.journal
-rw-r-----+ 1 root systemd-journal 16777216 Aug  2 22:44 system@412dc1544fb841d4909752bffd03e810-0000000000026340-000555b006ce5e6d.journal
-rw-r-----+ 1 root systemd-journal 26214400 Aug  1 15:04 user-1000@15238a40d91c40fabe10b0bec7f53a23-000000000001d951-0005558547686519.journal
-rw-r-----+ 1 root systemd-journal  8388608 Aug  1 15:04 system@412dc1544fb841d4909752bffd03e810-000000000001d952-000555854768665a.journal
-rw-r-----+ 1 root systemd-journal 26214400 Jul 30 12:10 user-1000@15238a40d91c40fabe10b0bec7f53a23-0000000000015378-0005553e36e51b82.journal
-rw-r-----+ 1 root systemd-journal  8388608 Jul 30 12:03 system@412dc1544fb841d4909752bffd03e810-0000000000015393-0005553e40691231.journal
-rw-r-----+ 1 root systemd-journal  8388608 Apr 18  2015 user-1002.journal
-rwxr-xr-x+ 1 root systemd-journal  8388608 Apr  8  2015 user-42.journal
-rwxr-xr-x+ 1 root systemd-journal  8388608 Apr  1  2015 user-995.journal
-rwxr-xr-x+ 1 root systemd-journal  8388608 Apr  3  2014 user-1001.journal

Linux 作業系統上的新二進制日誌不像舊的二進制日誌那樣工作。

舊的二進制日誌是/var/log/wtmp和/var/log/btmp。在系統引導時，將wtmp使用使用者名寫入reboot條目，在關閉時將wtmp使用使用者名寫入條目shutdown。查找系統重新啟動的時間是使用last rebootandlast shutdown命令列印出這些條目的問題。

新的二進制日誌是 systemd 日誌，它們沒有這樣的條目。

相反，每條日誌記錄都有一個名為boot ID的欄位。-o verbose您可以通過選項看到這一點journalctl。引導 ID 由核心在引導時生成，並將systemd-journald從核心獲取的目前引導 ID 應用於每個日誌記錄，因為它正在將其添加到日誌中。

為了實現該list-boots功能，journalctl掃描整個日誌，讀取每條記錄的時間戳和引導 ID ，並記錄與每個唯一引導 ID 相關聯的最早和最新時間戳。

沒有明確的引導日誌條目需要清理，就像舊的二進制日誌一樣。相反，您必須刪除所有標記有您不想再看到的引導 ID 的條目。

您的問題是，因為您是特權使用者，所以整個日誌還包括每個使用者的日誌：您可以在目錄列表中看到的那些user-1001.journal和文件。user-42.journal正如您還可以看到的，您擁有一些自 2014 年和 2015 年以來未接觸過的使用者的每使用者日誌。這些是具有這些舊引導 ID 的日誌條目所在的位置。

正如手冊所說，“清理”僅對存檔的日誌文件起作用，而不是對目前活動的文件。但正如您進一步看到的那樣，那些日期為 2014 年和 2015 年的各種每使用者期刊是這些使用者目前仍處於活動狀態的文件。具有諷刺意味的是，它們從未增長到足以歸檔的程度。

你有兩個選擇：

• 使用該--system選項將其限制journalctl --list-boots為僅系統文件，並且不讀取每個使用者的文件。
• 用於journalctl --rotate強制歸檔每個使用者的日誌（以及系統日誌 - 洞穴！），以便它們能夠“真空”。如果你journalctl沒有這個，你必須向systemd-journald程序發送一個信號，如其手冊頁所述。

當然，在此之前，您可能想調查一下為什麼您的gdm使用者帳戶有一個每個使用者的日誌，以及使用者 ID 995 在 2015 年愚人節做了什麼。☺

您可能還想查看其他引導 ID 的結果及其等效journalctl -n 20 _BOOT_ID=53baf678f0d749d6b390afea4a3ef96b項。journalctl --reverse -n 20 _BOOT_ID=53baf678f0d749d6b390afea4a3ef96b

引用自：https://unix.stackexchange.com/questions/383551