Las siguientes características de auditoría se definen en el primer inicio de sesión:
Máscara de preselección de procesos: una combinación de la máscara de auditoría en todo el sistema y la máscara de auditoría específica de usuario, si una máscara de auditoría de usuario se ha especificado. Cuando un usuario inicia sesión, el proceso de inicio de sesión combina las clases preseleccionadas para establecer la máscara de preselección de proceso para los procesos del usuario. La máscara de preselección de proceso especifica los sucesos que generan registros de auditoría.
El siguiente algoritmo describe el modo en que el sistema obtiene la máscara de preselección de proceso del usuario:
(system-wide default flags + always-audit-classes) - never-audit-classes
Agregue clases de auditoría en todo el sistema de los resultados del comando auditconfig -getflags a las clases del valor always-audit-classes para la palabra clave always_audit del usuario. Luego, reste del total las clases del campo never-audit-classes del usuario. Consulte también la página del comando man audit_flags(5).
ID de usuario de auditoría: un proceso adquiere un ID de usuario de auditoría inmutable cuando el usuario inicia sesión. Este ID es heredado por todos los procesos secundarios comenzados por el proceso inicial del usuario. El ID de usuario de auditoría ayuda a aplicar responsabilidad. Incluso después de que un usuario asume un rol, el ID del usuario de auditoría sigue siendo el mismo. El ID del usuario de auditoría que se guarda en cada registro de auditoría le permite siempre rastrear las acciones hasta el usuario de inicio de sesión.
ID de sesión de auditoría: el ID de sesión de auditoría se asigna cuando se inicia sesión. Este ID de sesión es heredado por todos los procesos secundarios.
ID de terminal: para un inicio de sesión local, el ID de terminal está formado por la dirección IP del sistema local seguido por un número único que identifica el dispositivo físico en el que inició sesión el usuario. La mayoría de las veces, el inicio de sesión es a través de la consola. El número que corresponde al dispositivo de la consola es 0,0. Para un inicio de sesión remoto, el ID de terminal consta de una dirección IP del host remoto seguido del número de puerto remoto y el número de puerto local.