すべてのプロダクト
Search
ドキュメントセンター

:auditd設定を変更して、ディスク容量不足によるインスタンスの自動停止を防ぐにはどうすればよいですか。

最終更新日:Dec 13, 2024

問題の説明

Elastic Compute Service (ECS) インスタンスでは、操作が実行されていない場合でも自動的に停止することがあります。 インスタンスを再起動すると、インスタンスは一定期間実行され、その後自動的に再び停止します。 /var/log/messagesなどの次のメッセージに似たエラーメッセージがシステムログファイルに表示されます。

localhost auditd[607]: Audit daemon is low on disk space for logging 
localhost auditd[607]: The audit daemon is now halting the system

原因

デフォルトでは、CentOSまたはRHELオペレーティングシステムを実行するECSインスタンスに対してauditdサービスが有効になっています。 auditdサービスは、多数の監査ログエントリを /var/log/audit/ ディレクトリに書き込み、他のサービスやアプリケーションは継続的にデータをディスクに書き込みます。 その結果、ディスク容量が不足する可能性があります。 /etc/audit/audit. conf設定ファイルで、space_left_action、admin_space_left_action、disk_full_actionなどのauditdアクションパラメーターを設定して、ディスク容量が不足した場合に実行するアクションを指定できます。 auditdアクションパラメーターを停止に設定すると、ディスク容量が不足するとauditdサービスによってシステムのシャットダウンがトリガーされます。 その結果、ECSインスタンスは停止します。

解決策

  1. ECSインスタンスに接続します。

    詳細については、「接続方法の概要」をご参照ください。

  2. 次のコマンドを実行して、auditd設定ファイルを変更します。

    vi /etc/audit/auditd.conf
  3. ディスク容量不足に対応するauditdアクションパラメーターの値を変更します。 パラメータには、space_left_action、admin_space_left_action、およびdisk_full_actionが含まれます。

    パラメーターをSUSPENDに設定することを推奨します。これは、ディスク容量が不足している場合、auditdサービスが /var/log/audit /ディレクトリへの監査ログエントリの書き込みを停止することを指定します。

    space_left = 75
    space_left_action = SUSPEND
    admin_space_left = 50
    admin_space_left_action = SUSPEND
    disk_full_action = SUSPEND
  4. 新しい設定を有効にするためにauditdサービスを再起動します。

    systemctl restart auditd.service