需配置MaxRetentionSec参数实现日志按时间保留：一、修改/etc/systemd/journald.conf中MaxRetentionSec=30day并重启服务；二、用journalctl --vacuum-time=15d手动清理；三、结合SystemMaxUse=500M双限；四、cron定时执行vacuum-time；五、验证最早日志时间戳是否合规。
如果您发现Linux系统中systemd-journald日志持续增长，占用大量磁盘空间，且希望按时间维度精准控制日志保留周期，则需配置日志最大保留天数。以下是实现该目标的多种可行方法：
一、修改journald.conf配置文件设置MaxRetentionSec
此方法通过持久化配置强制journal服务在启动和运行时自动清理超过指定天数的日志，属于系统级全局策略，重启服务后长期生效。
1、使用文本编辑器打开journald主配置文件：
sudo nano /etc/systemd/journald.conf
2、定位到[Journal]段落，取消注释并修改以下行：
MaxRetentionSec=30day
3、保存文件并退出编辑器。
4、重启journald服务以应用更改：
sudo systemctl restart systemd-journald
5、立即验证效果，执行命令查看当前日志总量：
journalctl --disk-usage
二、使用journalctl --vacuum-time命令手动触发时间清理
该方式不修改配置文件，适用于临时性、一次性或调试场景下的快速清理，仅作用于当前已存在的日志归档，不会影响后续新日志的生成策略。
1、执行按时间清理指令，保留最近15天日志：
sudo journalctl --vacuum-time=15d
2、确认清理结果，观察输出中的“Vacuuming done”提示及释放空间数值。
3、如需保留更短周期（例如7天），将参数改为：
sudo journalctl --vacuum-time=7d
三、结合SystemMaxUse与MaxRetentionSec双参数协同限制
单一时间限制可能因日志密度突增导致磁盘仍被占满，因此建议同时设定大小上限与时间上限，形成双重保险机制，确保即使高频率写入也不会突破容量红线。
1、编辑配置文件：
sudo nano /etc/systemd/journald.conf
2、在[Journal]节下添加或修改两行：
MaxRetentionSec=30day
SystemMaxUse=500M
3、保存后重启服务：
sudo systemctl restart systemd-journald
4、运行检查命令确认两项策略均已加载：
journalctl --disk-usage
四、创建定时任务每24小时自动执行vacuum-time清理
对于无法修改系统配置的受限环境（如容器、只读根文件系统），可借助cron定期调用vacuum命令模拟自动保留策略，无需重启服务即可维持日志时效性。
1、编辑root用户的crontab：
sudo crontab -e
2、添加以下行（每天凌晨2点执行）：
0 2 * * * /usr/bin/journalctl --vacuum-time=30d > /dev/null 2>&1
3、保存退出，系统将自动加载该计划任务。
4、手动运行一次以测试脚本有效性：
sudo journalctl --vacuum-time=30d
五、验证日志保留策略是否实际生效
配置完成后必须验证时间边界是否被准确识别与执行，避免因单位误写（如day写成days）、语法错误或权限问题导致策略静默失效。
1、查询最早一条日志的时间戳：
journalctl --no-pager --lines=1 --reverse
2、对比当前系统时间与该时间戳的差值，确认是否超出设定天数。
3、若存在明显超期日志，检查journald状态：
sudo systemctl status systemd-journald
4、重点查看输出中是否包含"Max file retention time set to..."字样，这是配置被成功加载的关键标志。
