Quem é o usuário “unset” no aureport?

Question

Não encontrei esse usuário "não definido" indescritível em /etc/passwd e não há menção a ele em man aureport , embora ela tenha marcado o maior número de ocorrências em meu registro de auditoria:

# aureport -u -i --summary --start today

User Summary Report
===========================
total  auid
===========================
888  unset
222  root
55  creepy_user

Quem é o usuário "não definido" e o que ele faz para ganhar a vida?

    

Answer 1

Com base na definição de auid desta página do SuSE, intitulada: Compreendendo os registros de auditoria e gerar relatórios :

auid

The audit ID. A process is given an audit ID on user login. This ID is then handed down to any child process started by the initial process of the user. Even if the user changes his identity (for example, becomes root), the audit ID stays the same. Thus you can always trace actions to the original user who logged in.

Gostaria de concluir que não houve login realizado por um usuário para o processo que foi passado para o processo filho que foi iniciado. Existem maneiras de executar processos no Unix sem realmente efetuar login.

Acredito que pam_loginuid é responsável por definir isso. Você pode dar uma olhada na página man para saber mais sobre isso.