rsyslogd bertanggung jawab untuk mengumpulkan pesan layanan yang berasal dari aplikasi dan kernel, lalu mengirim mereka ke dalam berkas log (biasanya disimpan dalam direktori /var/log/). Ini mematuhi berkas konfigurasi /etc/rsyslog.conf.
auth dan authpriv: untuk otentikasi;
cron: berasal dari layanan penjadwalan tugas, cron dan atd;
daemon: mempengaruhi daemon tanpa klasifikasi khusus apapun (DNS, NTP, dll);
ftp: menyangkut server FTP;
kern: pesan yang datang dari kernel;
lpr: berasal dari subsistem pencetakan;
mail: berasal dari subsistem surel;
news: pesan subsistem Usenet (terutama dari NNTP — Network News Transfer Protocol — server yang mengelola newsgroup);
syslog: pesan-pesan dari server syslogd itu sendiri;
user: pesan-pesan pengguna (generik);
uucp: pesan dari server UUCP (Unix to Unix Copy Program, protokol tua yang terutama digunakan untuk mendistribusikan pesan surel);
local0 sampai local7: disediakan untuk penggunaan lokal.
emerg: "Tolong!" Ada keadaan darurat, sistem ini mungkin tidak dapat digunakan.
alert: buru-buru, penundaan bisa berbahaya, tindakan harus diambil segera;
crit: kondisi kritis;
err: kesalahan;
warn: peringatan (potensi kesalahan);
notice: kondisi normal, tapi pesan tersebut penting;
info: pesan informatif;
debug: pesan pengawakutuan (debug).
/etc/rsyslog.conf dirinci dalam halaman manual rsyslog.conf(5), tetapi ada juga dokumentasi HTML yang tersedia di paket rsyslog-doc (/usr/share/doc/rsyslog-doc/html/index.html). Prinsip keseluruhan adalah untuk menulis pasangan "pemilih" dan "tindakan". Pemilih mendefinisikan semua pesan yang relevan, dan tindakan yang menjelaskan bagaimana menangani mereka.
subsistem.prioritas (contoh: auth.notice;mail.info). Bintang dapat mewakili semua subsistem atau semua prioritas (contoh: *.alert atau mail.*). Beberapa subsistem dapat dikelompokkan, dengan memisahkan mereka dengan tanda koma (contoh: auth,mail.info). Prioritas yang ditunjukkan juga mencakup pesan prioritas yang sama atau lebih tinggi; dengan demikian auth.alert menunjukkan subsistem pesan auth dengan prioritas alert atau emerg. Diawali dengan tanda seru (!), ini menunjukkan sebaliknya, dengan kata lain hanya prioritas yang lebih rendah; auth.!notice, dengan demikian, menunjukkan pesan yang dikeluarkan dari auth, dengan prioritas info atau debug. Diawali dengan tanda sama dengan (=), sesuai dengan hanya prioritas ditunjukkan (oauth.=notice pesan dari auth ini hanya berkenaan dengan prioritas notice).
kern.info;kern.!err berarti pesan dari kernel dengan prioritas antara info dan warn. Prioritas none menunjukkan kumpulan kosong (tidak ada prioritas), dan dapat dipakai untuk mengecualikan subsistem dari serangkaian pesan. Dengan demikian, *. crit;kern.none menunjukkan semua pesan prioritas yang sama dengan atau lebih tinggi dari crit yang bukan berasal dari kernel.
/var/log/messages);
syslog remote (contoh: @log.falcot.com);
|/dev/xconsole);
root, rhertzog);
*);
/dev/tty8).