audit_user 数据库

/etc/security/audit_user 数据库可针对单个用户修改系统范围的预选类。添加到 audit_user 数据库内用户项中的类可以通过两种方法修改 audit_control 文件中的设置：

• 通过指定始终针对此用户进行审计的审计类

• 通过指定从不针对此用户进行审计的审计类

audit_user 数据库中的每个用户项都包含三个字段：

username:always-audit-classes:never-audit-classes

审计字段将按顺序进行处理。always-audit-classes 字段打开对其中的类的审计。never-audit-classes 字段关闭对其中的类的审计。

应避免出现在 never-audit-classes 字段中放置 all 审计类这种常见错误。此错误将导致针对此用户关闭所有审计功能，从而覆盖 always-audit-classes 字段中的设置。此设置还覆盖 audit_control 文件中的系统范围的审计类设置。

用户的 never-audit-classes 设置将覆盖系统缺省设置。您可能不需要覆盖系统缺省设置。例如，假定您需要针对用户 tamiko 审计所有内容，但文件系统对象的成功读取除外。您还需要将系统缺省设置应用于 tamiko。请注意，在以下 audit_user 项中放置第二个冒号 (:)：

tamiko:all,^+fr:  正确的项

正确的项意味着“始终审计所有内容，但成功的文件读取除外”。

tamiko:all:+fr    错误的项

不正确的项意味着“始终审计所有内容，但从不审计成功的文件读取”。跟在第二个冒号之后的 never-audit-classes 字段将覆盖系统缺省设置。在正确的项中，always-audit-classes 字段包括 all 审计类的例外。由于 never-audit-classes 字段中没有审计类，因此，不会覆盖 audit_control 文件中的系统缺省设置。

成功的事件和失败的事件将分别进行处理。进程针对失败事件生成的审计记录数多于针对成功事件生成的审计记录数。