新手配置Linux身份审计框架并导出合规性报告的核心是启用auditd服务、配置identity规则、验证捕获效果、用aureport生成CSV/日志报告。
新手配置Linux身份审计框架并导出合规性报告，核心是用好auditd服务，聚焦“谁在什么时候做了什么关键操作”，再通过标准化工具生成可读、可追溯的报告。不需要写代码或部署复杂平台，按步骤操作即可落地。
安装并启用auditd服务
这是整个身份审计的基础。大多数发行版已预装，但需确认并启动：
- Ubuntu/Debian：运行
sudo apt install auditd audispd-plugins，然后sudo systemctl enable --now auditd - CentOS/RHEL：运行
sudo yum install audit audit-libs audispd-plugins，再执行sudo systemctl enable --now auditd - 检查状态：
sudo systemctl status auditd，看到active (running)即表示就绪
定义身份相关审计规则
身份审计重点监控用户登录、提权、关键文件访问等行为。规则要写进持久化文件，避免重启失效：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 编辑
/etc/audit/rules.d/identity.rules（新建文件），加入以下内容：
-w /etc/shadow -p r -k identity_shadow
-a always,exit -F arch=b64 -S execve -F auid!=4294967295 -k identity_cmd
-a always,exit -F arch=b64 -m USER_LOGIN -k identity_login
- 说明：
-w监控敏感文件读写；-a ... -m USER_LOGIN捕获所有登录事件；auid!=4294967295排除内核线程，只记录真实用户行为；-k标签统一用identity_*前缀，便于后续归类 - 加载规则：
sudo augenrules --load（推荐）或重启服务：sudo systemctl restart auditd
验证规则是否生效
别跳过这步——确保系统真正在记录你需要的数据：
- 手动触发一次登录或修改
/etc/passwd（如用sudo vipw），再立即执行：sudo ausearch -k identity_login -ts recent | head -5sudo ausearch -k identity_cmd -ts recent | head -5 - 若返回非空结果（含
execve、USER_LOGIN等字段），说明规则已捕获行为 - 若无输出，检查
ausearch -m avc是否有SELinux拒绝日志，或确认auditctl -l中是否列出了对应规则
定期导出合规性分析报告
用 aureport 一键生成结构化摘要，配合简单脚本实现定期导出：
- 每日汇总身份活动：
sudo aureport -k --key identity_login,identity_cmd,identity_passwd,identity_shadow --start today --format csv > /var/log/audit/reports/identity_daily_$(date +%Y%m%d).csv - 生成登录异常统计（如失败次数）：
sudo aureport -m USER_LOGIN --summary --failed | grep -E "^(user|total)" > /var/log/audit/reports/login_fail_summary.log - 添加到定时任务（每天凌晨2点执行）：
echo "0 2 * * * root /usr/local/bin/audit-identity-report.sh" | sudo tee -a /etc/crontab - 脚本示例（保存为
/usr/local/bin/audit-identity-report.sh，记得chmod +x）：
#!/bin/bash
mkdir -p /var/log/audit/reports
aureport -k --key identity_login,identity_cmd --start yesterday --end today --format csv > /var/log/audit/reports/identity_$(date -d yesterday +\%Y\%m\%d).csv
