# 읽기 쉬운 JSON 형식으로 출력
journalctl -u nginx -n 5 -o json-pretty

# 출력 예시 (주요 필드)
{
  "__REALTIME_TIMESTAMP" : "1705312800123456",
  "_HOSTNAME" : "web-prod-01",
  "_SYSTEMD_UNIT" : "nginx.service",
  "_PID" : "12345",
  "_EXE" : "/usr/sbin/nginx",
  "_UID" : "0",
  "PRIORITY" : "6",
  "MESSAGE" : "start worker process 12346",
  "SYSLOG_IDENTIFIER" : "nginx"
}

# 타임스탬프와 메시지만 추출
journalctl -u nginx --since "1 hour ago" -o json | \
  jq -r '[.__REALTIME_TIMESTAMP, .MESSAGE] | @tsv'

# 에러 레벨 로그의 PID와 메시지만
journalctl -u myapp -p err -o json | \
  jq -r 'select(.PRIORITY <= "3") | "\(._PID) \(.MESSAGE)"'

# 장애 발생 시간대 로그를 파일로 저장
journalctl -u payment-service \
  --since "2024-01-15 14:00:00" \
  --until "2024-01-15 15:00:00" \
  -o json-pretty > incident-20240115-payment.json

# 여러 서비스를 함께 타임라인 순으로 저장
journalctl -u api-gateway -u payment-service -u inventory-service \
  --since "2024-01-15 13:55:00" \
  --until "2024-01-15 15:05:00" \
  -o json > incident-full-timeline.json

# 특정 실행 파일이 남긴 로그 (절대 경로 필수)
journalctl _EXE=/usr/bin/python3

# 특정 PID가 남긴 로그 — 크래시 직전 프로세스 추적
journalctl _PID=12345

# 특정 사용자(UID)가 실행한 프로세스 로그 전체
journalctl _UID=1001

# 조합 필터 — AND 조건 (같은 줄에 나열)
journalctl _UID=1001 _EXE=/usr/bin/python3

# OR 조건 — 두 필드 중 하나라도 일치하면 출력
journalctl _EXE=/usr/sbin/nginx + _EXE=/usr/bin/nginx

# 특정 항목의 모든 필드를 verbose로 확인
journalctl -u nginx -n 1 -o verbose

# 필드 이름 목록만 확인
journalctl -F _TRANSPORT       # 사용 가능한 _TRANSPORT 값 목록
journalctl -F _SYSTEMD_UNIT    # 현재 저널에 있는 모든 유닛 이름
journalctl -F _EXE             # 저널에 기록된 모든 실행 파일 경로

# 1단계: 어떤 Python 실행 파일들이 로그를 남겼는지 확인
journalctl -F _EXE | grep python

# 출력 예시
# /usr/bin/python3
# /usr/bin/python3.10
# /opt/venv/bin/python3

# 2단계: 해당 경로로 직접 필터링
journalctl _EXE=/usr/bin/python3 --since "1 hour ago" -p err

# 커널 메시지만 (dmesg와 동일하지만 시간 필터 등 journalctl 기능 사용 가능)
journalctl -k

# 부팅 시 커널 메시지 (하드웨어 감지, 드라이버 로드 순서 확인)
journalctl -k -b

# 이전 부팅의 커널 메시지 (크래시 직전 상황)
journalctl -k -b -1

# OOM Killer 발생 여부 확인 — 메모리 부족으로 프로세스 강제 종료
journalctl -k | grep -i "oom\|killed process\|out of memory"

# 디스크 오류 확인
journalctl -k | grep -i "error\|i/o error\|failed\|reset"

# 특정 시간대 커널 메시지
journalctl -k --since "2024-01-15 03:00:00" --until "2024-01-15 03:30:00"

Jan 15 03:14:22 web-prod-01 kernel: Out of memory: Killed process 8823 (java) total-vm:4194304kB, anon-rss:3145728kB
Jan 15 03:14:22 web-prod-01 kernel: oom_reaper: reaped process 8823 (java), now anon-rss:0kB

# 1단계: 영구 저장 디렉터리 생성
sudo mkdir -p /var/log/journal

# 2단계: 권한 설정 (journald가 쓸 수 있도록)
sudo systemd-tmpfiles --create --prefix /var/log/journal

# 3단계: journald 재시작
sudo systemctl restart systemd-journald

# 4단계: 확인 — 이제 --list-boots에 이전 부팅 기록이 쌓임
journalctl --list-boots

sudo nano /etc/systemd/journald.conf

[Journal]
# 영구 저장 강제 (auto: 디렉터리 있을 때만 영구, volatile: 항상 메모리)
Storage=persistent

# 최대 디스크 사용량 (전체 파일시스템의 10% 또는 여기서 지정한 값 중 작은 것)
SystemMaxUse=2G

# 각 journal 파일의 최대 크기
SystemMaxFileSize=200M

# 특정 기간 이전 로그 자동 삭제
MaxRetentionSec=3months

# Rate Limiting 완화 (로그가 드롭되는 경우)
RateLimitIntervalSec=30s
RateLimitBurst=10000

sudo systemctl restart systemd-journald

# 부팅 기록 목록 확인 (왼쪽 번호: 0=현재, -1=직전, -2=전전)
journalctl --list-boots

# 출력 예시
# -2 abc123def Mon 2024-01-14 09:00:00 KST—Mon 2024-01-14 18:00:00 KST
# -1 xyz789ghi Tue 2024-01-15 09:00:00 KST—Tue 2024-01-15 03:14:25 KST  ← 비정상 종료
#  0 pqr456stu Tue 2024-01-15 03:15:10 KST—still running

# 재부팅 직전 로그 확인 (-1 = 직전 부팅)
journalctl -b -1

# 직전 부팅의 특정 서비스 로그
journalctl -b -1 -u nginx

# 직전 부팅의 커널 메시지 (크래시 원인 추적)
journalctl -b -1 -k -p err