Le jeton subject décrit un utilisateur qui exécute ou tente d'effectuer une opération. Le format est le même que le jeton process.
Le jeton subject est toujours retourné dans le cadre des enregistrements d'audit générés par le noyau pour les appels système. La commande praudit affiche le jeton subject de la manière suivante :
subject,jdoe,root,root,root,root,1631,1421584480,8243 65558 machine1
La commande praudit -x affiche les champs du jeton subject. La ligne dans l'exemple suivant est renvoyée à des fins d'affichage.
<subject audit-uid="jdoe" uid="root" gid="root" ruid="root" rgid="root" pid="1631" sid="1421584480" tid="8243 65558 machine1"/>