Bagaimana cara memodifikasi konfigurasi auditd untuk mencegah penghentian instans otomatis yang disebabkan oleh ruang disk yang tidak mencukupi? -

Deskripsi masalah

Instance Elastic Compute Service (ECS) secara berkala mengalami penghentian otomatis meskipun tidak ada operasi yang dilakukan. Setelah dihidupkan ulang, instance beroperasi selama beberapa waktu sebelum kembali berhenti secara otomatis. Pesan kesalahan serupa dengan berikut ini muncul dalam file log sistem seperti /var/log/messages:

localhost auditd[607]: Audit daemon is low on disk space for logging 
localhost auditd[607]: The audit daemon is now halting the system

Penyebab

Secara default, layanan auditd diaktifkan pada instance ECS yang menjalankan sistem operasi CentOS atau RHEL. Layanan auditd menulis banyak entri log audit ke direktori /var/log/audit/, sementara layanan dan aplikasi lain terus menulis data ke disk. Hal ini dapat menyebabkan ruang disk menjadi penuh. Anda dapat mengonfigurasi parameter tindakan auditd seperti space_left_action, admin_space_left_action, dan disk_full_action dalam file konfigurasi /etc/audit/auditd.conf untuk menentukan tindakan yang diambil saat ruang disk tidak mencukupi. Jika parameter tindakan auditd disetel ke halt, layanan auditd akan memicu shutdown sistem ketika ruang disk habis, sehingga menyebabkan instance ECS berhenti.

Solusi

Hubungkan ke instance ECS.
Untuk informasi lebih lanjut, lihat Ikhtisar Metode Koneksi.
Jalankan perintah berikut untuk memodifikasi file konfigurasi auditd:
```
vi /etc/audit/auditd.conf
```
Ubah nilai parameter tindakan auditd yang merespons ruang disk yang tidak mencukupi, termasuk space_left_action, admin_space_left_action, dan disk_full_action.
Disarankan untuk menyetel parameter-parameter tersebut ke SUSPEND, yang menentukan bahwa layanan auditd berhenti menulis entri log audit ke direktori /var/log/audit/ saat ruang disk tidak mencukupi.
```
space_left = 75
space_left_action = SUSPEND
admin_space_left = 50
admin_space_left_action = SUSPEND
disk_full_action = SUSPEND
```
Mulai ulang layanan auditd agar konfigurasi baru diterapkan.
```
systemctl restart auditd.service
```