容量与轮转（/etc/audit/auditd.conf）
容量与轮转（/etc/audit/auditd.conf）
max_log_file = 200 # 单个日志文件上限 MB
num_logs = 10 # 保留的轮转份数
max_log_file_action = rotate # 到达上限动作
space_left_action = syslog # 空间不足动作验证与集中留存
验证与集中留存
systemctl restart auditd
auditctl -s | grep -E 'max_log_file|num_logs'
ls -lh /var/log/audit/ # 观察轮转文件
# 远端集中：syslog 服务器收集 audit 事件（rsyslog 转发规则见 rsyslog-remote 条目）单机保留量 = max_log_file × num_logs；长期留存计算好容量后再上线轮转策略，避免磁盘被审计日志写满。