Question

在我的剧本中，我有一项任务是更新audit.rules，然后通知处理程序应该重启审计服务。

task:
  - name:  6.6.7 - audit rules configuration
    template: src=X/ansible/templates/auditd_rules.j2
              dest=/etc/audit/rules.d/audit.rules
              backup=yes
              owner=root group=root mode=0640
     notify:
   - restart auditd


  handlers:
    - name: restart auditd
      service: name=auditd state=restarted

当Playbook运行时，审核规则会更新，并且会请求重新启动auditd，但这会失败，如下所示。

RUNNING HANDLER [restart auditd] ***********************************************
fatal: [ipX-southeast-2.compute.internal]: FAILED! => {"changed": false, "failed": true, "msg": "Unable to restart service auditd: Failed to restart auditd.service: Operation refused, unit auditd.service may be requested by dependency only.\n"}

当我查看auditd的单位定义时，我可以看到refuseManualStop = yes。这是为什么我不能重新启动服务？如何解决新的审计规则？

 systemctl cat auditd.service
# /usr/lib/systemd/system/auditd.service
[Unit]
Description=Security Auditing Service
DefaultDependencies=no
After=local-fs.target systemd-tmpfiles-setup.service
Conflicts=shutdown.target
Before=sysinit.target shutdown.target
RefuseManualStop=yes
ConditionKernelCommandLine=!audit=0
Documentation=man:auditd(8) https://people.redhat.com/sgrubb/audit/

[Service]
ExecStart=/sbin/auditd -n
## To not use augenrules, copy this file to /etc/systemd/system/auditd.service
## and comment/delete the next line and uncomment the auditctl line.
## NOTE: augenrules expect any rules to be added to /etc/audit/rules.d/
ExecStartPost=-/sbin/augenrules --load
#ExecStartPost=-/sbin/auditctl -R /etc/audit/audit.rules
ExecReload=/bin/kill -HUP $MAINPID
# By default we don't clear the rules on exit. To enable this, uncomment
# the next line after copying the file to /etc/systemd/system/auditd.service
#ExecStopPost=/sbin/auditctl -R /etc/audit/audit-stop.rules

[Install]
WantedBy=multi-user.target

Answer 1

Red Hat Bugzilla #1026648和Anisble Issue # 22171 (github)报告（大多数情况下）对此进行了探讨，讨论和解决。

解决

使用ansible service模块参数use=service强制执行/sbin/service实用程序，而不是systemd的聚集事实值（调用/sbin/systemctl ）像这样：

- service: name=auditd state=restarted use=service

Example playbook (pastebin.com)

解决方法：

使用ansible command模块显式运行服务可执行文件，如下所示：

- command: /sbin/service auditd restart

分析 - 根本原因：



这是auditd.service unit的上游打包创建的问题。 systemctl采取行动时，它不会启动/停止/重启，显然是by design。

Ansible服务控制功能进一步复杂化，它使用收集系统事实时识别的首选方法，并且“ansible_service_mgr”返回“systemd”。这与用于管理service.unit的实际模块无关。

如果在即将发布的更新（ERRATA）
中被视为问题，RHEL开发团队可能会修复
Ansible开发团队提供了一种解决方法，并且（从2.2开始）使用service参数更新了use模块。

Answer 2

将手动停止更改为NO并尝试

sudo service auditd restart

如果这样可行，那么代码也可以正常工作

systemctl start auditd

和

systemctl enable auditd

适用于CentOS版本7。请点击链接获取进一步的帮助。

Link

Auditd in CentOS7

Answer 3

我会正确验证审计服务重新加载，因为即使使用命令模块，您指定的命令也将无法正常工作或行为;

通过

确认

service auditd status

https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Security_Guide/sec-starting_the_audit_service.html

尝试改为

service auditd condrestart

：）

Answer 4

答案可能会迟到，但如果其他人遇到同样的问题，您可以使用以下命令导入auditd的新规则：

auditctl -R /path/to_your_rules_file

因此，无需重新启动auditd.service来导入新规则

Answer 5

您不应更改参数rejectManualStop，因为它可以确保系统安全。在创建新规则之后，您可以做的是重新启动主机，等待主机，然后继续使用剧本。

剧本示例：

- name: Create new rules file
  copy:
    src: 01-personalized.rules
    dest: /etc/audit/rules.d/01-personalized.rules
    owner: root
    group: root
    mode: 0600
  register: result

- name: Reboot server
  shell: "sleep 5 && reboot"
  async: 1
  poll: 0
  when: result is changed

- name: Wait for server to become available
  wait_for_connection:
    delay: 60
    sleep: 5
    timeout: 300
  when: result is changed

ansible：如何重新启动centos 7上的auditd服务获取有关依赖的错误

5 个答案: