El token subject describe un usuario que lleva a cabo o intenta llevar a cabo una operación. El formato es el mismo que el del token process.
El token subject siempre se devuelve como parte de los registros de auditoría generadas por el núcleo para las llamadas de sistema. El comando praudit muestra el token subject de la siguiente manera:
subject,jdoe,root,root,root,root,1631,1421584480,8243 65558 machine1
El comando praudit -x muestra los campos del token subject. La línea en el siguiente ejemplo se ajustó con fines de visualización.
<subject audit-uid="jdoe" uid="root" gid="root" ruid="root" rgid="root" pid="1631" sid="1421584480" tid="8243 65558 machine1"/>