1.复现步骤 

1、删除 /etc/logrotate.d/rsyslog 文件中 /usr/bin/killall -HUP rsyslogd，避免messages日志对auth.log的影响

2、另一台机器 ssh 该系统，该行为会触发系统内auth.log的记录

3、执行命令进行手动日志轮转

logrotate -vf /etc/logrotate.conf

4、执行命令ps -elf | grep rsyslog; lsof -p {PID} | grep var，可见rsyslog一直在操作已删除的文件。

2.原因简述

该问题原因为 logrotate 操作轮转切割日志 /var/log/auth.log文件后，rsyslog 进程打开切割前日志文件 /var/log/auth.log没有被关闭，使用lsof 能够查看到 /var/log/auth.log (deleted)文件被占用状态，资源没有被释放。

解决该问题需要每次日志切割轮转后向 rsyslog.service发送HUP信号重新加载配置，命令为 /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true，保证轮转切割日志后，可以及时释放资源，避免出现上述问题。

3.解决方案/修复/更新方法

升级rsyslog软件包至rsyslog-8.1907.0-5.p02.ky10以上版本

# yum update rsyslog

重新加载服务配置文件

# systemctl daemon-reload

确认服务状态正常

# systemctl status rsyslog