/var/log/audit 内の audit.log ファイル肥大化によりディスク使用率が増加する

Products

• VMware Cloud Foundation
• VMware vSphere Foundation

Issue/Introduction

免責事項：これは英文の記事「Disk usage increases due to large audit.log file in /var/log/audit(424236)」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

GUI にて Low Disk Space の警告が表示される場合があります。ルートパーティションまたは /var/log パーティションのディスク使用率が高くなっています。du コマンドによる調査で、/var/log/audit ディレクトリ内の audit.log ファイルが大量の領域を消費していることが確認されます。

ファイル確認の例:

ls -l /var/log/audit/
total 178257920
-rw------- 1 root root 182536110080 YYYY-MM-DDTHH:MM:SS audit.log

Environment

VMware Skyline Health Diagnostics

Cause

auditd サービスが環境によって想定通りにログファイルをローテーションせず、単一の audit.log ファイルが無制限に増加するためです。

Resolution

この問題を解決するには、肥大化したログファイルをクリアし、手動で強制的にログローテーションを実行します。

1. root ユーザーとして SSH でアプライアンスにログインします。

2. audit ログファイルのサイズを確認します。
   ls -l /var/log/audit/

3. ディスク容量を即座に確保するため、ファイルサイズを 0 バイトに切り詰めます。
   truncate -s 0 /var/log/audit/audit.log

4. ファイルサイズが 0 になっていることを確認します。
   ls -l /var/log/audit/audit.log

5. auditd サービスのプロセス ID (PID) を特定します。
   ps aux | grep auditd

6. auditd プロセスに SIGUSR1 シグナルを送信し、ログローテーションをトリガーします。<PID> の部分は前の手順で確認した実際のプロセス ID に置き換えてください。
   kill -SIGUSR1 <PID>

7. ログがローテーションされたことを確認します。新しい audit.log ファイルが作成され、以前のファイルは audit.log.1 にリネームされます。
   ls -l /var/log/audit/