最常见原因是KYSEC的devctl策略启用，执行sudo kysec_set -n devctl -voff可临时关闭；其次检查auditd规则（sudo auditctl -l）并删除相关终端命令监控规则；最后在rsyslog中注释audit日志转发行并重启服务。
麒麟系统在执行某些敏感命令（如sudo、su、passwd）时，终端会弹出“安全审计追踪已启用”类提示，干扰自动化脚本或日常操作，需定位并关闭该提示的触发机制。
确认是否由KYSEC设备管控模块触发
该提示最常见于KYSEC启用devctl策略后对终端类进程的拦截日志回显。先验证当前状态：sudo getstatus | grep devctl。若返回devctl:on，说明设备管控已激活，且可能将bash、zsh等shell进程识别为需审计的“终端设备访问行为”。
执行sudo kysec_set -n devctl -voff临时关闭设备管控。此操作立即生效，无需重启服务，但会同步禁用U盘管控、串口访问限制等所有devctl策略。
屏蔽auditd对终端命令的审计规则
若提示来自auditd日志回写到终端（如通过ausearch或auditctl -s触发），需检查是否加载了针对/bin/bash、/usr/bin/sudo等路径的详细监控规则。
列出当前所有规则：sudo auditctl -l。
查找含comm="sudo"、comm="bash"或key=terminal_audit等特征的规则行，记录其完整规则字符串。
逐条删除对应规则：例如规则为-a always,exit -F comm=sudo -k sudo_trace，则执行sudo auditctl -d always,exit -F comm=sudo -k sudo_trace。注意：-d参数必须与-a添加时的完整条件严格一致，否则报错“no rules matched”。
删除后执行sudo auditctl -s | grep "enabled"，确认nr_rules值下降，表明规则已移除。
停用终端审计日志实时推送（图形桌面环境专用）
银河麒麟桌面版默认启用auditd日志转发至GNOME日志查看器（gnome-logs），当audit.log中出现匹配事件时，会在右上角弹出通知气泡并伴随终端提示。此行为与auditd服务本身无关，而是由rsyslog转发规则驱动。
编辑rsyslog配置：sudo nano /etc/rsyslog.d/50-default.conf。
注释掉包含“audit”或“/var/log/audit/”的转发行，例如将#*.*;auth,authpriv.none;audit.* /var/log/audit/audit.log改为#*.*;auth,authpriv.none;audit.* /var/log/audit/audit.log。
重启rsyslog：sudo systemctl restart rsyslog。此后audit日志仅写入文件，不再触发终端提示或桌面通知。
