rsyslog とは？

/var/log/ ディレクトリに色々なログファイルがあるよ。認証関連はauth.log、カーネルはkern.log、システム全般はsyslog。これらのログを適切なファイルに振り分けているのがrsyslogなんだ。

ファシリティ（出所：auth、kern、mailなど）とプライオリティ（重要度：emerg、err、info、debugなど）の組み合わせで決まるよ。/etc/rsyslog.confで「auth.* /var/log/auth.log」のように設定するんだ。

それがrsyslogの大きな強みだよ。数十台のサーバーのログを1台のログサーバーに集約すれば、障害調査やセキュリティ監査がずっと楽になる。しかもTLSで暗号化して送れるから、ログの盗聴も防げるんだ。

いい質問だね。systemdと一緒に登場したjournaldはバイナリ形式でログを保存するんだけど、多くのディストリビューションではrsyslogとjournaldが共存しているよ。journaldがログを受け取ってrsyslogに転送し、rsyslogがファイルに書き出すという二段構えが一般的なんだ。大規模環境ではFluentdやVector経由でElasticsearchに送る構成も増えてきているけど、基本のrsyslogは押さえておいて損はないよ。