目录
目录X
linux 系统 auditd 启动故障问题处理
AI摘要（BLUF）
根因systemctl status auditd 提示：ConditionKernelCommandLine=!audit=0 was not met 内核启动参数携带 audit=0，内核审计子系统被关闭，auditd 服务启动条件不满足，直接无法拉起。 手动 /sbin/auditd -f 前台启动只是加载配置，内核审计开关没开，依旧不能正常工作。 处理步骤备份 grub 配置cp/etc/default/grub/etc/default/grub.bak删除内核参数里的 audit=0sed-i's/audit=0//g'/etc/default/grub生成新 grub 配置（BIO……
根因
systemctl status auditd 提示：ConditionKernelCommandLine=!audit=0 was not met 内核启动参数携带 audit=0，内核审计子系统被关闭，auditd 服务启动条件不满足，直接无法拉起。
手动
/sbin/auditd -f前台启动只是加载配置，内核审计开关没开，依旧不能正常工作。
处理步骤
备份 grub 配置
cp /etc/default/grub /etc/default/grub.bak
删除内核参数里的
audit=0
sed -i 's/audit=0//g' /etc/default/grub
生成新 grub 配置（BIOS 传统引导路径）
grub2-mkconfig -o /boot/grub2/grub.cfg
重启服务器（必须，内核参数仅重启生效）
reboot
重启后校验
# 确认内核参数无audit=0 cat /proc/cmdline # 启动并查看auditd状态 systemctl start auditd systemctl status auditd
校验标准
/proc/cmdline输出中不存在audit=0auditd.service状态为active (running)/var/log/audit/audit.log持续写入审计日志
