Linux 是否在进程启动时记录日志，以及分配给它的 PID？我在哪里可以找到那个日志？

Question

当我的 Ubuntu 服务器启动时，我看到一条消息：kernel: [11.895392] init: failsafe main process (631) killed by TERM signal. 我想知道这是什么过程，但我不知道在哪里看。当我搜索我的syslog和 时kernel.log，我没有看到任何进程启动和被赋予标识符 (PID) 的证据。

我想调查我的启动消息（故障安全主进程被杀死......）但首先，我需要回答这个问题：当一个进程启动时，记录在哪里以及分配给它的PID是否也被记录?

我知道一个进程会根据需要写入一个 PID 文件以供稍后参考，但是一旦该进程被终止，我能找出它曾经拥有的 PID 吗？

Answer 1

首先，您的消息已经包含程序名称：

kernel: [11.895392] init: failsafe main process (631) killed by TERM signal

这意味着failsafe具有pid的程序631收到了TERM信号。

为了回答您最初的问题，大多数 Linux 发行版默认情况下不会记录创建的进程的 pid，但您可以使用审核框架并创建必要的规则来记录所有创建的进程。https://www.wzdftpd.net/docs/selinux/audit.html提供了这些规则的介绍，应该可以帮助您入门。