☰

以日期命名轮换的审计日志

tag-icon • tag-icon auditd log-rotation
以日期命名轮换的审计日志

auditd 可以使用日期而不是整数来命名其轮换审计日志吗？目前我有

audit.log
audit.log.1
audit.log.2
...

当audit.log文件填满时，所有文件都会向上旋转一个数字。我有一个脚本，用于备份审计日志，当它看到所有文件都移动到它下面时，它会感到困惑。我想按日期命名文件，这样当文件填满tar时，它们就不会全部被移动。audit.log

答案1

auditd 无法做到这一点。其内置的日志轮换通过以下方式实现：尺寸，不是按日期。

您应该能够关闭 auditd 的内置日志轮换，然后配置 logrotate 来轮换其日志。它做按日期命名文件。在/etc/audit/auditd.conf：

num_logs = 0

在/etc/logrotate.d/auditd（随意调）：

/var/log/audit/audit.log {
    daily
    missingok
    notifempty
    sharedscripts
    rotate 2
    compress
    delaycompress
    postrotate
        /usr/bin/systemctl kill -s USR1 auditd.service >/dev/null 2>&1 || true
    endscript
}

（USR1 信号告诉 auditd 轮换其日志。由于它配置为不自行轮换其日志，这只会导致它打开一个新日志，这在 logrotate 轮换日志之后立即发生。）

相关内容