EC2实例cloud-init-output.log被覆盖，丢失的运行日志如何找回?

你观察到的日志消失和SSH连接断开没有直接关联，属于两个独立事件的时间巧合，核心原因有两类：

• 最常见的触发逻辑是系统logrotate定时任务过夜运行，触发了日志轮转：默认配置下/var/log/cloud-init-output.log被纳入日志轮转监控范围，当日志大小或保存时间达到阈值时，logrotate会将原有日志压缩归档为cloud-init-output.log.1.gz这类命名的压缩文件，同时清空原有日志文件，新产生的内核相关信息会写入清空后的新文件，也就是你重新打开后看到的内容。
• 少数场景下是自启动任务的输出特性导致：如果你的自启动任务被cloud-init作为后台 detached 进程启动，cloud-init主进程完成初始化退出后，任务未被显式重定向的输出不会再写入cloud-init-output.log，你最初通过tail看到的是任务实时输出缓存，后续输出被写入其他系统日志路径，就会出现该文件内容“消失”的假象。

• 优先查看轮转归档的历史日志：
  /var/log目录下默认保留多轮压缩归档的cloud-init日志，使用zcat命令直接读取归档内容即可：
  查看最近一轮归档日志：zcat /var/log/cloud-init-output.log.1.gz
  查看更早的归档只需替换文件名中的序号，比如zcat /var/log/cloud-init-output.log.2.gz
  可以搭配grep过滤你的任务相关日志：zcat /var/log/cloud-init-output.log.1.gz | grep "任务关键字"
• 归档中无对应内容时查询系统全局日志：
  如果任务输出未写入cloud-init日志，会默认写入系统日志，根据实例操作系统选择对应命令查询：
  Debian/Ubuntu系列：grep "任务关键字" /var/log/syslog
  RHEL/Amazon Linux/CentOS系列：grep "任务关键字" /var/log/messages
  涉及内核相关报错的话可以用dmesg -T查看带时间戳的内核日志，匹配对应时间段的内容。

如果需要长期稳定保存自启动任务的运行日志，在user data中配置启动命令时，主动将输出重定向到独立的日志文件，示例如下：
你的任务启动命令 >> /var/log/custom_task.log 2>&1 &
可以单独为该自定义日志配置logrotate规则，避免日志丢失或被覆盖。

内容的提问来源于stack exchange，提问作者rhowell