更改内核审计日志文件记录位置如何才能生效？

ncesun

在/etc/rc.d.config/auditing 文件里将 PRI_AUDFILE改为/tmp/secure/audfile1 将SEC_AUDFILE改为/tmp/secure/audfile2 ，重启服务器
然后没有生效。
然后我
#audsys -f
#audsys -n -c /tmp/secure/audfile1 -s 10000 -x /tmp/secure/audfile2 -z 10000
然后发现日志文件产生在指定位置了。
请问，为啥更改auditing配置文件没有生效？
现在用audsys命令更改后，下次服务器重新启动后日志文件是不是仍然产生在原来的位置啊？

haizdl

下面这个参数也需要设置一下，然后重启系统才能把审计服务重新拉起来。
AUDITING=0

lbseraph

要在启动后生效的话，要在配置文件/etc/rc.d.config/auditing里面，设置AUDITING=1才可以。这也能解释你为什么第一次重启后没生效，用命令只是临时生效。要想下次也生效的话，要在配置文件/etc/rc.d.config/auditing里面设AUDITING=1。

ncesun

回复 3# lbseraph
忘记说了，前期已经设置AUDITING=1了，而且审计已经启动了
现在是想更改下审计日志放的位置。

   

lbseraph

是不是第一次的时候/tmp/secure/audfile1和/tmp/secure/audfile2这两个文件没有创建过的？我觉得你下次重启应该会在原来位置的了（你配置文件是这样写的）。

haizdl

# Note:  Settings to PRI_AUDFILE, PRI_SWITCH, SEC_AUDFILE and SEC_SWITCH
# only have effect during first time starting up auditing subsystem.
# To get the most current and effective settings to these parameters,
# use audsys(1m).

看来这个配置文件的生命周期只有一次