Ошибка при запуске audd в док-контейнере centos: «Невозможно установить начальное состояние запуска аудита как« включить », выход» - PullRequest
Новая
       15

Ошибка при запуске audd в док-контейнере centos: «Невозможно установить начальное состояние запуска аудита как« включить », выход»

0 голосов
/ 15 ноября 2018

Я пытаюсь создать Docker-контейнер с включенным systemd и установить auditd.

Я использую стандартный centos/systemd образ, предоставленный в dockerhub ,Но когда я пытаюсь запустить аудит, он терпит неудачу.

Вот список команд, которые я выполнил, чтобы создать и попасть в контейнер Docker: 

docker run -d --rm --privileged --name systemd -v /sys/fs/cgroup:/sys/fs/cgroup:ro centos/systemd
docker exec -it systemd bash

Теперь внутриконтейнер докера: 

yum install audit
systemctl start auditd

Я получаю следующую ошибку: 

Job for auditd.service failed because the control process exited with error code. See "systemctl status auditd.service" and "journalctl -xe" for details.

Затем я запускаю: 

 systemctl status auditd.service

И я получаю эту информацию: 

auditd[182]: Error sending status request (Operation not permitted)
auditd[182]: Error sending enable request (Operation not permitted)
auditd[182]: Unable to set initial audit startup state to 'enable', exiting
auditd[182]: The audit daemon is exiting.
auditd[181]: Cannot daemonize (Success)
auditd[181]: The audit daemon is exiting.
systemd[1]: auditd.service: control process exited, code=exited status=1
systemd[1]: Failed to start Security Auditing Service.
systemd[1]: Unit auditd.service entered failed state.
systemd[1]: auditd.service failed.

У вас, ребята, есть идеи, почему это происходит?

Спасибо.

1 Ответ

0 голосов
/ 15 ноября 2018

См. Это обсуждение :

В настоящее время audd может использоваться внутри контейнера только для агрегирования журналов из других систем.Его нельзя использовать для получения событий, относящихся к cotainer или хост-ОС.Если вы хотите агрегировать только, установите local_events = no в audd.conf.

Поддержка контейнеров все еще находится в стадии разработки.

Также см. this :

local_events Это ключевое слово yes / no указывает, следует ли включать локальные события.Обычно вы хотите локальные события, поэтому значение по умолчанию - да.Случаи, когда вы устанавливаете это значение «нет», это когда вы хотите агрегировать события только из сети.На данный момент это полезно, если демон аудита работает в контейнере.Эта опция может быть установлена ​​только один раз при запуске демона.Перезагрузка файла конфигурации не имеет никакого эффекта.

Так что по крайней мере на Date: Thu, 19 Jul 2018 14:53:32 -0400 эта функция не поддерживается, пришлось подождать.

...