Паспорт источника
Установите дистрибутив, пакет systemd, компьютер, доступные загрузки и используемый namespace журнала. Инструкция относится к документации systemd 262. Версию установленного пакета сверяйте отдельно. Для каждого вопроса зафиксируйте unit, период и права чтения. Journal приложения и системный audit — разные источники; наличие одного не подтверждает полноту другого. Совместимость всех российских ОС по общему Linux-происхождению не заявляется.
Формат и поля
MESSAGE — переданный текст; поля с подчёркиванием добавляет journal, однако они не устанавливают человека автоматически. JSON-пример связывает сообщение с unit, PID, UID, машиной и загрузкой. _BOOT_ID нужен для разделения повторяющихся PID между загрузками. _SYSTEMD_UNIT и _AUDIT_LOGINUID могут отсутствовать. Не достраивайте их из строки сообщения. Сохраните исходный экспорт рядом с удобной таблицей.
Чтение и рабочая последовательность
Запрос ограничивает demo.service и учебный интервал с явным UTC, выводя JSON. Подставьте реальную unit и период. Сначала проверьте доступные загрузки, затем уточняйте службу и процесс. Несколько разных FIELD=VALUE соединяются как условия, а совпадения одного поля имеют свою логику. Слишком узкий фильтр легко скрывает нужную строку; записывайте, какие ограничения добавлялись и почему.
Хранение и доставка
Сверьте фактический Storage, срок хранения, ограничения объёма, доступные архивы и маршрут пересылки. Volatile и persistent дают разную сохранность после перезагрузки; значения по умолчанию конкретной ОС здесь не утверждаются. Наличие сообщения локально и его присутствие в сборщике проверяются отдельно. Rate limit и ограничения чтения могут создавать пробелы, поэтому пустой интерфейс не локализует причину.
Применение к задаче
Сопоставьте сообщение с состоянием службы и доступными журналами приложения. Одна строка «ready» не доказывает успешность пользовательского запроса. Для исторического процесса храните узел, загрузку, PID и время, а не только имя. Если нужен субъект административного действия, дополните journal аутентификацией, sudo или аудитом при их фактическом наличии. Логи из разных namespaces и машин не объединяются только по похожему MESSAGE.
Если данных нет
Проверьте unit, namespace, загрузку, UTC, права и фактическую сохранность. Сравните выборку с менее узким фильтром в тех же границах, не считайте отсутствие _SYSTEMD_UNIT ошибкой приложения. Уточните ротацию, rate limit и доставку. Не выполняйте vacuum/flush и не меняйте Storage ради этой проверки: они не входят в читающую процедуру. Зафиксируйте конкретную непроверенную границу источника.