我如何知道哪个进程正在卸载文件系统？

Question

我正在尝试排除故障一个问题使用保险丝库，看起来有人导致我的文件系统在安装后不久就被卸载。

有人知道我该如何窥探是谁在告诉内核卸载文件系统吗？我曾尝试使用 dtrace 的 Linux 端口来查找对 umount(2) 的所有调用，但它会冻结整个虚拟机，或者至少是 ssh。

Answer 1

也许使用inotify 工具？这里有些例子如何使用它们。您可以监视的事件之一是卸载。

如果立即卸载，那么更有可能的是“某物”（不是某人）指示卸载吗？也许是缺少权限？

Answer 2

我通过替换/bin/mount一个将证据（时间、参数、父进程）记录到文件中的 shell 脚本来解决这个问题。结果发现文件系统被粗鲁地由 systemd 卸载。