动易技术中心 /产品知识库/网站&服务器&网络安全

linux 系统 auditd 启动故障问题处理

来源：本站原创 点击数： 次 发布时间：2026年10月28日

根因

systemctl status auditd 提示：ConditionKernelCommandLine=!audit=0 was not met 内核启动参数携带 audit=0，内核审计子系统被关闭，auditd 服务启动条件不满足，直接无法拉起。  

手动 /sbin/auditd -f 前台启动只是加载配置，内核审计开关没开，依旧不能正常工作。  


处理步骤

  1. 备份 grub 配置

cp /etc/default/grub /etc/default/grub.bak

  1. 删除内核参数里的 audit=0

sed -i 's/audit=0//g' /etc/default/grub

  1. 生成新 grub 配置（BIOS 传统引导路径）

grub2-mkconfig -o /boot/grub2/grub.cfg

  1. 重启服务器（必须，内核参数仅重启生效）

reboot

  1. 重启后校验

# 确认内核参数无audit=0
cat /proc/cmdline
# 启动并查看auditd状态
systemctl start auditd
systemctl status auditd


校验标准

  • /proc/cmdline 输出中不存在 audit=0

  • auditd.service 状态为 active (running)

  • /var/log/audit/audit.log 持续写入审计日志