如何修改auditd服務配置避免因磁碟空間不足導致執行個體自動關機 -

問題現象

ECS執行個體在無任何操作的情況下會時不時出現自動關機的現象。當您重啟執行個體後，過一段時間ECS執行個體會再次關機，通過查看系統日誌（如/var/log/messages），可以看到類似的錯誤：

localhost auditd[607]: Audit daemon is low on disk space for logging 
localhost auditd[607]: The audit daemon is now halting the system

可能原因

CentOS、RHEL系統的ECS執行個體中預設開啟了auditd服務進行審計。該服務會向/var/log/audit/目錄中寫入大量審計日誌，隨著其他服務和程式不斷寫入資料，可能會出現磁碟空間不足的情況。如果您將/etc/audit/auditd.conf設定檔中在磁碟空間不足時auditd的動作參數space_left_action、admin_space_left_action或disk_full_action的值修改為halt，會導致auditd服務在磁碟空間不足時自動觸發系統關機，導致ECS執行個體被關閉。

解決方案

遠端連線ECS執行個體。
具體操作，請參見串連方式概述。
執行如下命令，編輯auditd設定檔。
```
vi /etc/audit/auditd.conf
```
修改在磁碟空間不足時auditd的動作參數space_left_action、admin_space_left_action或disk_full_action的值。
推薦修改為SUSPEND，表示磁碟空間不足時auditd停止寫入審計日誌。
```
space_left = 75
space_left_action = SUSPEND
admin_space_left = 50
admin_space_left_action = SUSPEND
disk_full_action = SUSPEND
```
重啟auditd服務，使新的配置生效。
```
systemctl restart auditd.service
```