如何在 CentOS/Fedora 下禁用与 sudo 相关的日志以成功执行命令？

Question

您可以通过添加类似的东西来禁用与 sudo 相关的日志消息

Defaults:juser !syslog

到 sudoers文件。

这将禁用日志记录到系统日志。但是在例如 CentOS/Fedoraauditd下，默认情况下会启用它继续（详细地）通过以下方式记录成功的 sudo 执行/var/log/audit/audit.log. 这意味着一个（成功的）sudo 调用会产生 5 个审计日志条目。

使这些消息静音的一种（可能过于广泛）方法是通过以下auditctl选项禁用对这些消息的审核：

-a exclude,always -F msgtype=USER_START
-a exclude,always -F msgtype=USER_END 
-a exclude,always -F msgtype=USER_CMD
-a exclude,always -F msgtype=CRED_ACQ
-a exclude,always -F msgtype=CRED_DISP

是否有更优雅/细粒度的方法来仅禁用成功的 sudo 调用的审计？

（也许仅适用于某个 sudo 用户？）

Answer 1

我在 CentOS 7 上查到了这个。

根据man auditctl您可以检查euid来过滤出用户juser的更具体信息。