管理审计工具 (auditd)
从基于 Fedora 39 的第一个版本开始，Fedora CoreOS 包含审计后台进程 (auditd)，用于加载和管理审计规则。
Like all system daemons on Fedora CoreOS, the audit daemon is managed by systemd but with an exception: it cannot be stopped or restarted via systemctl stop auditd or systemctl restart auditd for compliance reasons.
"这种对重启/停止请求进行特殊处理的原因是，内核对 auditd 进行了特殊处理：向 auditd 发送kill信号的进程的凭据会被保存到审计日志中。审计开发人员不想看到 PID 1 的凭据被记录在审计日志中。他们希望看到的是发起该操作的用户的登录 UID。"
要停止和重启审计守护进程，应使用以下命令：
$ sudo auditctl --signal stop
$ sudo systemctl start auditd.service # Only if you want it started again您还可以使用以下命令重新加载规则、轮换日志、恢复日志记录或转储守护进程状态：
$ sudo auditctl --signal reload
$ sudo auditctl --signal rotate
$ sudo auditctl --signal resume
$ sudo auditctl --signal state有关这些命令的更多详情，请参阅 auditctl(8) 和 auditd(8)。
Want to help? Learn how to contribute to Fedora Docs ›