usr/src/man/man1m/auditconfig.1m

   1 '\" te
   2 .\"  Copyright (c) 2008, Sun Microsystems, Inc. All Rights Reserved
   3 .\" The contents of this file are subject to the terms of the Common Development and Distribution License (the "License"). You may not use this file except in compliance with the License.
   4 .\" You can obtain a copy of the license at usr/src/OPENSOLARIS.LICENSE or http://www.opensolaris.org/os/licensing. See the License for the specific language governing permissions and limitations under the License.
   5 .\" When distributing Covered Code, include this CDDL HEADER in each file and include the License file at usr/src/OPENSOLARIS.LICENSE. If applicable, add the following below this CDDL HEADER, with the fields enclosed by brackets "[]" replaced with your own identifying information: Portions Copyright [yyyy] [name of copyright owner]
   6 .TH AUDITCONFIG 1M "Sep 14, 2009"
   7 .SH NAME
   8 auditconfig \- configure auditing
   9 .SH SYNOPSIS
  10 .LP
  11 .nf
  12 \fBauditconfig\fR \fIoption\fR...
  13 .fi
  14
  15 .SH DESCRIPTION
  16 .sp
  17 .LP
  18 \fBauditconfig\fR provides a command line interface to get and set kernel audit
  19 parameters.
  20 .sp
  21 .LP
  22 This functionality is available only if the Solaris Auditing feature has been
  23 enabled. See \fBbsmconv\fR(1M) for more information.
  24 .sp
  25 .LP
  26 The setting of the \fBperzone\fR policy determines the scope of the audit
  27 setting controlled by \fBauditconfig\fR. If \fBperzone\fR is set, then the
  28 values reflect the local zone except as noted. Otherwise, the settings are for
  29 the entire system. Any restriction based on the \fBperzone\fR setting is noted
  30 for each option to which it applies.
  31 .sp
  32 .LP
  33 A non-global zone administrator can set all audit policy options except
  34 \fBperzone\fR and \fBahlt\fR. \fBperzone\fR and \fBahlt\fR apply only to the
  35 global zone; setting these policies requires the privileges of a global zone
  36 administrator. \fBperzone\fR and \fBahlt\fR are described under the
  37 \fB-setpolicy\fR option, below.
  38 .SH OPTIONS
  39 .sp
  40 .ne 2
  41 .na
  42 \fB\fB-aconf\fR\fR
  43 .ad
  44 .sp .6
  45 .RS 4n
  46 Set the non-attributable audit mask from the \fBaudit_control\fR(4) file. For
  47 example:
  48 .sp
  49 .in +2
  50 .nf
  51 # auditconfig -aconf
  52 Configured non-attributable events.
  53 .fi
  54 .in -2
  55 .sp
  56
  57 .RE
  58
  59 .sp
  60 .ne 2
  61 .na
  62 \fB\fB-audit\fR \fIevent\fR \fIsorf\fR \fIretval\fR \fIstring\fR\fR
  63 .ad
  64 .sp .6
  65 .RS 4n
  66 This command constructs an audit record for audit event \fIevent\fR using the
  67 process's audit characteristics containing a text token \fIstring\fR. The
  68 return token is constructed from the \fIsorf\fR (success/failure flag) and the
  69 \fIretval\fR (return value). The event is type \fBchar*\fR, the \fIsorf\fR is
  70 0/1 for success/failure, \fIretval\fR is an errno value, \fIstring\fR is type
  71 \fB*char\fR. This command is useful for constructing an audit record with a
  72 shell script. An example of this option:
  73 .sp
  74 .in +2
  75 .nf
  76 # auditconfig -audit AUE_ftpd 0 0 "test string"
  77 #
  78
  79 audit record from audit trail:
  80     header,76,2,ftp access,,Fri Dec 08 08:44:02 2000, + 669 msec
  81     subject,abc,root,other,root,other,104449,102336,235 197121 elbow
  82     text,test string
  83     return,success,0
  84 .fi
  85 .in -2
  86 .sp
  87
  88 .RE
  89
  90 .sp
  91 .ne 2
  92 .na
  93 \fB\fB-chkaconf\fR\fR
  94 .ad
  95 .sp .6
  96 .RS 4n
  97 Checks the configuration of the non-attributable events set in the kernel
  98 against the entries in \fBaudit_control\fR(4). If the runtime class mask of a
  99 kernel audit event does not match the configured class mask, a mismatch is
 100 reported.
 101 .RE
 102
 103 .sp
 104 .ne 2
 105 .na
 106 \fB\fB-chkconf\fR\fR
 107 .ad
 108 .sp .6
 109 .RS 4n
 110 Check the configuration of kernel audit event to class mappings. If the runtime
 111 class mask of a kernel audit event does not match the configured class mask, a
 112 mismatch is reported.
 113 .RE
 114
 115 .sp
 116 .ne 2
 117 .na
 118 \fB\fB-conf\fR\fR
 119 .ad
 120 .sp .6
 121 .RS 4n
 122 Configure kernel audit event to class mappings. Runtime class mappings are
 123 changed to match those in the audit event to class database file.
 124 .RE
 125
 126 .sp
 127 .ne 2
 128 .na
 129 \fB\fB-getasid\fR\fR
 130 .ad
 131 .sp .6
 132 .RS 4n
 133 Prints the audit session ID of the current process. For example:
 134 .sp
 135 .in +2
 136 .nf
 137 # auditconfig -getasid
 138 audit session id = 102336
 139 .fi
 140 .in -2
 141 .sp
 142
 143 .RE
 144
 145 .sp
 146 .ne 2
 147 .na
 148 \fB\fB-getaudit\fR\fR
 149 .ad
 150 .sp .6
 151 .RS 4n
 152 Returns the audit characteristics of the current process.
 153 .sp
 154 .in +2
 155 .nf
 156 # auditconfig -getaudit
 157 audit id = abc(666)
 158 process preselection mask = lo(0x1000,0x1000)
 159 terminal id (maj,min,host) = 235,197121,elbow(172.146.89.77)
 160 audit session id = 102336
 161 .fi
 162 .in -2
 163 .sp
 164
 165 .RE
 166
 167 .sp
 168 .ne 2
 169 .na
 170 \fB\fB-getauid\fR\fR
 171 .ad
 172 .sp .6
 173 .RS 4n
 174 Prints the audit ID of the current process. For example:
 175 .sp
 176 .in +2
 177 .nf
 178 # auditconfig -getauid
 179 audit id = abc(666)
 180 .fi
 181 .in -2
 182 .sp
 183
 184 .RE
 185
 186 .sp
 187 .ne 2
 188 .na
 189 \fB\fB-getcar\fR\fR
 190 .ad
 191 .sp .6
 192 .RS 4n
 193 Prints current active root location (anchored from root [or local zone root] at
 194 system boot). For example:
 195 .sp
 196 .in +2
 197 .nf
 198 # auditconfig -getcar
 199 current active root = /
 200 .fi
 201 .in -2
 202 .sp
 203
 204 .RE
 205
 206 .sp
 207 .ne 2
 208 .na
 209 \fB\fB-getclass\fR \fIevent\fR\fR
 210 .ad
 211 .sp .6
 212 .RS 4n
 213 Display the preselection mask associated with the specified kernel audit event.
 214 \fIevent\fR is the kernel event number or event name.
 215 .RE
 216
 217 .sp
 218 .ne 2
 219 .na
 220 \fB\fB-getcond\fR\fR
 221 .ad
 222 .sp .6
 223 .RS 4n
 224 Display the kernel audit condition. The condition displayed is the literal
 225 string \fBauditing\fR meaning auditing is enabled and turned on (the kernel
 226 audit module is constructing and queuing audit records); \fBnoaudit\fR, meaning
 227 auditing is enabled but turned off (the kernel audit module is not constructing
 228 and queuing audit records); \fBdisabled\fR, meaning that the audit module has
 229 not been enabled; or \fBnospace\fR, meaning there is no space for saving audit
 230 records. See \fBauditon\fR(2) and \fBauditd\fR(1M) for further information.
 231 .RE
 232
 233 .sp
 234 .ne 2
 235 .na
 236 \fB\fB-getestate\fR \fIevent\fR\fR
 237 .ad
 238 .sp .6
 239 .RS 4n
 240 For the specified event (string or event number), print out classes \fIevent\fR
 241 has been assigned. For example:
 242 .sp
 243 .in +2
 244 .nf
 245 # auditconfig -getestate 20
 246 audit class mask for event AUE_REBOOT(20) = 0x800
 247 # auditconfig -getestate AUE_RENAME
 248 audit class mask for event AUE_RENAME(42) = 0x30
 249 .fi
 250 .in -2
 251 .sp
 252
 253 .RE
 254
 255 .sp
 256 .ne 2
 257 .na
 258 \fB\fB-getkaudit\fR\fR
 259 .ad
 260 .sp .6
 261 .RS 4n
 262 Get audit characteristics of the current zone. For example:
 263 .sp
 264 .in +2
 265 .nf
 266 # auditconfig -getkaudit
 267 audit id = unknown(-2)
 268 process preselection mask = lo,na(0x1400,0x1400)
 269 terminal id (maj,min,host) = 0,0,(0.0.0.0)
 270 audit session id = 0
 271 .fi
 272 .in -2
 273 .sp
 274
 275 If the audit policy \fBperzone\fR is not set, the terminal id is that of the
 276 global zone. Otherwise, it is the terminal id of the local zone.
 277 .RE
 278
 279 .sp
 280 .ne 2
 281 .na
 282 \fB\fB-getkmask\fR\fR
 283 .ad
 284 .sp .6
 285 .RS 4n
 286 Get non-attributable pre-selection mask for the current zone. For example:
 287 .sp
 288 .in +2
 289 .nf
 290 # auditconfig -getkmask
 291 audit flags for non-attributable events = lo,na(0x1400,0x1400)
 292 .fi
 293 .in -2
 294 .sp
 295
 296 If the audit policy \fBperzone\fR is not set, the kernel mask is that of the
 297 global zone. Otherwise, it is that of the local zone.
 298 .RE
 299
 300 .sp
 301 .ne 2
 302 .na
 303 \fB\fB-getpinfo\fR \fIpid\fR\fR
 304 .ad
 305 .sp .6
 306 .RS 4n
 307 Display the audit ID, preselection mask, terminal ID, and audit session ID for
 308 the specified process.
 309 .RE
 310
 311 .sp
 312 .ne 2
 313 .na
 314 \fB\fB-getpolicy\fR\fR
 315 .ad
 316 .sp .6
 317 .RS 4n
 318 Display the kernel audit policy. The \fBahlt\fR and \fBperzone\fR policies
 319 reflect the settings from the global zone. If \fBperzone\fR is set, all other
 320 policies reflect the local zone's settings. If \fBperzone\fR is not set, the
 321 policies are machine-wide.
 322 .RE
 323
 324 .sp
 325 .ne 2
 326 .na
 327 \fB\fB-getcwd\fR\fR
 328 .ad
 329 .sp .6
 330 .RS 4n
 331 Prints current working directory (anchored from zone root at system boot). For
 332 example:
 333 .sp
 334 .in +2
 335 .nf
 336 # cd /usr/tmp
 337 # auditconfig -getcwd
 338 current working directory = /var/tmp
 339 .fi
 340 .in -2
 341 .sp
 342
 343 .RE
 344
 345 .sp
 346 .ne 2
 347 .na
 348 \fB\fB-getqbufsz\fR\fR
 349 .ad
 350 .sp .6
 351 .RS 4n
 352 Get audit queue write buffer size. For example:
 353 .sp
 354 .in +2
 355 .nf
 356 # auditconfig -getqbufsz
 357         audit queue buffer size (bytes) = 1024
 358 .fi
 359 .in -2
 360 .sp
 361
 362 .RE
 363
 364 .sp
 365 .ne 2
 366 .na
 367 \fB\fB-getqctrl\fR\fR
 368 .ad
 369 .sp .6
 370 .RS 4n
 371 Get audit queue write buffer size, audit queue \fBhiwater\fR mark, audit queue
 372 \fBlowater\fR mark, audit queue \fBprod\fR interval (ticks).
 373 .sp
 374 .in +2
 375 .nf
 376 # auditconfig -getqctrl
 377 audit queue hiwater mark (records) = 100
 378 audit queue lowater mark (records) = 10
 379 audit queue buffer size (bytes) = 1024
 380 audit queue delay (ticks) = 20
 381 .fi
 382 .in -2
 383 .sp
 384
 385 .RE
 386
 387 .sp
 388 .ne 2
 389 .na
 390 \fB\fB-getqdelay\fR\fR
 391 .ad
 392 .sp .6
 393 .RS 4n
 394 Get interval at which audit queue is prodded to start output. For example:
 395 .sp
 396 .in +2
 397 .nf
 398 # auditconfig -getqdelay
 399 audit queue delay (ticks) = 20
 400 .fi
 401 .in -2
 402 .sp
 403
 404 .RE
 405
 406 .sp
 407 .ne 2
 408 .na
 409 \fB\fB-getqhiwater\fR\fR
 410 .ad
 411 .sp .6
 412 .RS 4n
 413 Get high water point in undelivered audit records when audit generation will
 414 block. For example:
 415 .sp
 416 .in +2
 417 .nf
 418 # ./auditconfig -getqhiwater
 419 audit queue hiwater mark (records) = 100
 420 .fi
 421 .in -2
 422 .sp
 423
 424 .RE
 425
 426 .sp
 427 .ne 2
 428 .na
 429 \fB\fB-getqlowater\fR\fR
 430 .ad
 431 .sp .6
 432 .RS 4n
 433 Get low water point in undelivered audit records where blocked processes will
 434 resume. For example:
 435 .sp
 436 .in +2
 437 .nf
 438 # auditconfig -getqlowater
 439 audit queue lowater mark (records) = 10
 440 .fi
 441 .in -2
 442 .sp
 443
 444 .RE
 445
 446 .sp
 447 .ne 2
 448 .na
 449 \fB\fB-getstat\fR\fR
 450 .ad
 451 .sp .6
 452 .RS 4n
 453 Print current audit statistics information. For example:
 454 .sp
 455 .in +2
 456 .nf
 457 # auditconfig -getstat
 458 gen nona kern  aud  ctl  enq wrtn wblk rblk drop  tot  mem
 459 910    1  725  184    0  910  910    0  231    0   88   48
 460 .fi
 461 .in -2
 462 .sp
 463
 464 See \fBauditstat\fR(1M) for a description of the headings in \fB-getstat\fR
 465 output.
 466 .RE
 467
 468 .sp
 469 .ne 2
 470 .na
 471 \fB\fB-gettid\fR\fR
 472 .ad
 473 .sp .6
 474 .RS 4n
 475 Print audit terminal ID for current process. For example:
 476 .sp
 477 .in +2
 478 .nf
 479 # auditconfig -gettid
 480 terminal id (maj,min,host) = 235,197121,elbow(172.146.89.77)
 481 .fi
 482 .in -2
 483 .sp
 484
 485 .RE
 486
 487 .sp
 488 .ne 2
 489 .na
 490 \fB\fB-lsevent\fR\fR
 491 .ad
 492 .sp .6
 493 .RS 4n
 494 Display the currently configured (runtime) kernel and user level audit event
 495 information.
 496 .RE
 497
 498 .sp
 499 .ne 2
 500 .na
 501 \fB\fB-lspolicy\fR\fR
 502 .ad
 503 .sp .6
 504 .RS 4n
 505 Display the kernel audit policies with a description of each policy.
 506 .RE
 507
 508 .sp
 509 .ne 2
 510 .na
 511 \fB\fB-setasid\fR \fIsession-ID\fR [\fIcmd\fR]\fR
 512 .ad
 513 .sp .6
 514 .RS 4n
 515 Execute shell or \fIcmd\fR with specified \fIsession-ID\fR. For example:
 516 .sp
 517 .in +2
 518 .nf
 519 # ./auditconfig -setasid 2000 /bin/ksh
 520 #
 521 # ./auditconfig -getpinfo 104485
 522 audit id = abc(666)
 523 process preselection mask = lo(0x1000,0x1000)
 524 terminal id (maj,min,host) = 235,197121,elbow(172.146.89.77)
 525 audit session id = 2000
 526 .fi
 527 .in -2
 528 .sp
 529
 530 .RE
 531
 532 .sp
 533 .ne 2
 534 .na
 535 \fB\fB-setaudit\fR \fIaudit-ID\fR \fIpreselect_flags\fR \fIterm-ID\fR
 536 \fIsession-ID\fR [\fIcmd\fR]\fR
 537 .ad
 538 .sp .6
 539 .RS 4n
 540 Execute shell or \fIcmd\fR with the specified audit characteristics.
 541 .RE
 542
 543 .sp
 544 .ne 2
 545 .na
 546 \fB\fB-setauid\fR \fIaudit-ID\fR [\fIcmd\fR]\fR
 547 .ad
 548 .sp .6
 549 .RS 4n
 550 Execute shell or \fIcmd\fR with the specified \fIaudit-ID\fR.
 551 .RE
 552
 553 .sp
 554 .ne 2
 555 .na
 556 \fB\fB-setclass\fR \fIevent audit_flag\fR[\fI,audit_flag .\|.\|.\fR]\fR
 557 .ad
 558 .sp .6
 559 .RS 4n
 560 Map the kernel event \fIevent\fR to the classes specified by \fIaudit_flags\fR.
 561 \fIevent\fR is an event number or name. An \fIaudit_flag\fR is a two character
 562 string representing an audit class. See \fBaudit_control\fR(4) for further
 563 information. If \fBperzone\fR is not set, this option is valid only in the
 564 global zone.
 565 .RE
 566
 567 .sp
 568 .ne 2
 569 .na
 570 \fB\fB-setkaudit\fR \fIIP-address_type\fR \fIIP_address\fR\fR
 571 .ad
 572 .sp .6
 573 .RS 4n
 574 Set IP address of machine to specified values. \fIIP-address_type\fR is
 575 \fBipv6\fR or \fBipv4\fR.
 576 .sp
 577 If \fBperzone\fR is not set, this option is valid only in the global zone.
 578 .RE
 579
 580 .sp
 581 .ne 2
 582 .na
 583 \fB\fB-setkmask\fR \fIaudit_flags\fR\fR
 584 .ad
 585 .sp .6
 586 .RS 4n
 587 Set non-attributes selection flags of machine.
 588 .sp
 589 If \fBperzone\fR is not set, this option is valid only in the global zone.
 590 .RE
 591
 592 .sp
 593 .ne 2
 594 .na
 595 \fB\fB-setpmask\fR \fIpid flags\fR\fR
 596 .ad
 597 .sp .6
 598 .RS 4n
 599 Set the preselection mask of the specified process. \fBflags\fR is the ASCII
 600 representation of the flags similar to that in \fBaudit_control\fR(4).
 601 .sp
 602 If \fBperzone\fR is not set, this option is valid only in the global zone.
 603 .RE
 604
 605 .sp
 606 .ne 2
 607 .na
 608 \fB\fB-setpolicy\fR
 609 [\fI+\fR|\fI-\fR]\fIpolicy_flag\fR[\fI,policy_flag ...\fR]\fR
 610 .ad
 611 .sp .6
 612 .RS 4n
 613 Set the kernel audit policy. A policy \fIpolicy_flag\fR is literal strings that
 614 denotes an audit policy. A prefix of \fB+\fR adds the policies specified to the
 615 current audit policies. A prefix of \fB-\fR removes the policies specified from
 616 the current audit policies. No policies can be set from a local zone unless the
 617 \fBperzone\fR policy is first set from the global zone. The following are the
 618 valid policy flag strings (\fBauditconfig\fR \fB-lspolicy\fR also lists the
 619 current valid audit policy flag strings):
 620 .sp
 621 .ne 2
 622 .na
 623 \fB\fBall\fR\fR
 624 .ad
 625 .RS 16n
 626 Include all policies that apply to the current zone.
 627 .RE
 628
 629 .sp
 630 .ne 2
 631 .na
 632 \fB\fBahlt\fR\fR
 633 .ad
 634 .RS 16n
 635 Panic is called and the system dumps core if an asynchronous audit event occurs
 636 that cannot be delivered because the audit queue has reached the high-water
 637 mark or because there are insufficient resources to construct an audit record.
 638 By default, records are dropped and a count is kept of the number of dropped
 639 records.
 640 .RE
 641
 642 .sp
 643 .ne 2
 644 .na
 645 \fB\fBarge\fR\fR
 646 .ad
 647 .RS 16n
 648 Include the \fBexecv\fR(2) system call environment arguments to the audit
 649 record. This information is not included by default.
 650 .RE
 651
 652 .sp
 653 .ne 2
 654 .na
 655 \fB\fBargv\fR\fR
 656 .ad
 657 .RS 16n
 658 Include the \fBexecv\fR(2) system call parameter arguments to the audit record.
 659 This information is not included by default.
 660 .RE
 661
 662 .sp
 663 .ne 2
 664 .na
 665 \fB\fBcnt\fR\fR
 666 .ad
 667 .RS 16n
 668 Do not suspend processes when audit resources are exhausted. Instead, drop
 669 audit records and keep a count of the number of records dropped. By default,
 670 process are suspended until audit resources become available.
 671 .RE
 672
 673 .sp
 674 .ne 2
 675 .na
 676 \fB\fBgroup\fR\fR
 677 .ad
 678 .RS 16n
 679 Include the supplementary group token in audit records. By default, the group
 680 token is not included.
 681 .RE
 682
 683 .sp
 684 .ne 2
 685 .na
 686 \fB\fBnone\fR\fR
 687 .ad
 688 .RS 16n
 689 Include no policies. If used in other than the global zone, the \fBahlt\fR and
 690 \fBperzone\fR policies are not changed.
 691 .RE
 692
 693 .sp
 694 .ne 2
 695 .na
 696 \fB\fBpath\fR\fR
 697 .ad
 698 .RS 16n
 699 Add secondary path tokens to audit record. These are typically the pathnames of
 700 dynamically linked shared libraries or command interpreters for shell scripts.
 701 By default, they are not included.
 702 .RE
 703
 704 .sp
 705 .ne 2
 706 .na
 707 \fB\fBperzone\fR\fR
 708 .ad
 709 .RS 16n
 710 Maintain separate configuration, queues, and logs for each zone and execute a
 711 separate version of \fBauditd\fR(1M) for each zone.
 712 .RE
 713
 714 .sp
 715 .ne 2
 716 .na
 717 \fB\fBpublic\fR\fR
 718 .ad
 719 .RS 16n
 720 Audit public files. By default, read-type operations are not audited for
 721 certain files which meet \fBpublic\fR characteristics: owned by root, readable
 722 by all, and not writable by all.
 723 .RE
 724
 725 .sp
 726 .ne 2
 727 .na
 728 \fB\fBtrail\fR\fR
 729 .ad
 730 .RS 16n
 731 Include the trailer token in every audit record. By default, the trailer token
 732 is not included.
 733 .RE
 734
 735 .sp
 736 .ne 2
 737 .na
 738 \fB\fBseq\fR\fR
 739 .ad
 740 .RS 16n
 741 Include the sequence token as part of every audit record. By default, the
 742 sequence token is not included. The sequence token attaches a sequence number
 743 to every audit record.
 744 .RE
 745
 746 .sp
 747 .ne 2
 748 .na
 749 \fB\fBwindata_down\fR\fR
 750 .ad
 751 .RS 16n
 752 Include in an audit record any downgraded data moved between windows. This
 753 policy is available only if the system is configured with Trusted Extensions.
 754 By default, this information is not included.
 755 .RE
 756
 757 .sp
 758 .ne 2
 759 .na
 760 \fB\fBwindata_up\fR\fR
 761 .ad
 762 .RS 16n
 763 Include in an audit record any upgraded data moved between windows. This policy
 764 is available only if the system is configured with Trusted Extensions. By
 765 default, this information is not included.
 766 .RE
 767
 768 .sp
 769 .ne 2
 770 .na
 771 \fB\fBzonename\fR\fR
 772 .ad
 773 .RS 16n
 774 Include the \fBzonename\fR token as part of every audit record. By default, the
 775 \fBzonename\fR token is not included. The \fBzonename\fR token gives the name
 776 of the zone from which the audit record was generated.
 777 .RE
 778
 779 .RE
 780
 781 .sp
 782 .ne 2
 783 .na
 784 \fB\fB-setqbufsz\fR \fIbuffer_size\fR\fR
 785 .ad
 786 .sp .6
 787 .RS 4n
 788 Set the audit queue write buffer size (bytes).
 789 .RE
 790
 791 .sp
 792 .ne 2
 793 .na
 794 \fB\fB-setqctrl\fR \fIhiwater\fR \fIlowater\fR \fIbufsz\fR \fIinterval\fR\fR
 795 .ad
 796 .sp .6
 797 .RS 4n
 798 Set the audit queue write buffer size (bytes), hiwater audit record count,
 799 lowater audit record count, and wakeup interval (ticks). Valid within a local
 800 zone only if \fBperzone\fR is set.
 801 .RE
 802
 803 .sp
 804 .ne 2
 805 .na
 806 \fB\fB-setqdelay\fR \fIinterval\fR\fR
 807 .ad
 808 .sp .6
 809 .RS 4n
 810 Set the audit queue wakeup interval (ticks). This determines the interval at
 811 which the kernel pokes the audit queue, to write audit records to the audit
 812 trail. Valid within a local zone only if \fBperzone\fR is set.
 813 .RE
 814
 815 .sp
 816 .ne 2
 817 .na
 818 \fB\fB-setqhiwater\fR \fIhiwater\fR\fR
 819 .ad
 820 .sp .6
 821 .RS 4n
 822 Set the number of undelivered audit records in the audit queue at which audit
 823 record generation blocks. Valid within a local zone only if \fBperzone\fR is
 824 set.
 825 .RE
 826
 827 .sp
 828 .ne 2
 829 .na
 830 \fB\fB-setqlowater\fR \fIlowater\fR\fR
 831 .ad
 832 .sp .6
 833 .RS 4n
 834 Set the number of undelivered audit records in the audit queue at which blocked
 835 auditing processes unblock. Valid within a local zone only if \fBperzone\fR is
 836 set.
 837 .RE
 838
 839 .sp
 840 .ne 2
 841 .na
 842 \fB\fB-setsmask\fR \fIasid flags\fR\fR
 843 .ad
 844 .sp .6
 845 .RS 4n
 846 Set the preselection mask of all processes with the specified audit session ID.
 847 Valid within a local zone only if \fBperzone\fR is set.
 848 .RE
 849
 850 .sp
 851 .ne 2
 852 .na
 853 \fB\fB-setstat\fR\fR
 854 .ad
 855 .sp .6
 856 .RS 4n
 857 Reset audit statistics counters. Valid within a local zone only if
 858 \fBperzone\fR is set.
 859 .RE
 860
 861 .sp
 862 .ne 2
 863 .na
 864 \fB\fB-setumask\fR \fIauid flags\fR\fR
 865 .ad
 866 .sp .6
 867 .RS 4n
 868 Set the preselection mask of all processes with the specified audit ID. Valid
 869 within a local zone only if \fBperzone\fR is set.
 870 .RE
 871
 872 .SH EXAMPLES
 873 .LP
 874 \fBExample 1 \fRUsing \fBauditconfig\fR
 875 .sp
 876 .LP
 877 The following is an example of an \fBauditconfig\fR program:
 878
 879 .sp
 880 .in +2
 881 .nf
 882 #
 883 # map kernel audit event number 10 to the "fr" audit class
 884 #
 885 % auditconfig -setclass 10 fr
 886
 887 #
 888 # turn on inclusion of exec arguments in exec audit records
 889 #
 890 % auditconfig -setpolicy +argv
 891 .fi
 892 .in -2
 893 .sp
 894
 895 .SH EXIT STATUS
 896 .sp
 897 .ne 2
 898 .na
 899 \fB\fB0\fR\fR
 900 .ad
 901 .RS 5n
 902 Successful completion.
 903 .RE
 904
 905 .sp
 906 .ne 2
 907 .na
 908 \fB\fB1\fR\fR
 909 .ad
 910 .RS 5n
 911 An error occurred.
 912 .RE
 913
 914 .SH FILES
 915 .sp
 916 .ne 2
 917 .na
 918 \fB\fB/etc/security/audit_event\fR\fR
 919 .ad
 920 .RS 29n
 921 Stores event definitions used in the audit system.
 922 .RE
 923
 924 .sp
 925 .ne 2
 926 .na
 927 \fB\fB/etc/security/audit_class\fR\fR
 928 .ad
 929 .RS 29n
 930 Stores class definitions used in the audit system.
 931 .RE
 932
 933 .SH ATTRIBUTES
 934 .sp
 935 .LP
 936 See \fBattributes\fR(5) for descriptions of the following attributes:
 937 .sp
 938
 939 .sp
 940 .TS
 941 box;
 942 c | c
 943 l | l .
 944 ATTRIBUTE TYPE  ATTRIBUTE VALUE
 945 _
 946 Interface Stability     Committed
 947 .TE
 948
 949 .SH SEE ALSO
 950 .sp
 951 .LP
 952 \fBaudit\fR(1M), \fBauditd\fR(1M), \fBauditstat\fR(1M), \fBbsmconv\fR(1M),
 953 \fBpraudit\fR(1M), \fBauditon\fR(2), \fBexecv\fR(2), \fBaudit_class\fR(4),
 954 \fBaudit_control\fR(4), \fBaudit_event\fR(4), \fBattributes\fR(5),
 955 \fBaudit_binfile\fR(5)
 956 .sp
 957 .LP
 958 See the section on Solaris Auditing in \fISystem Administration Guide: Security
 959 Services\fR.
 960 .SH NOTES
 961 .sp
 962 .LP
 963 If plugin output is selected using \fBaudit_control\fR(4), the behavior of the
 964 system with respect to the \fB-setpolicy\fR \fB+cnt\fR and the
 965 \fB-setqhiwater\fR options is modified slightly. If \fB-setpolicy\fR \fB+cnt\fR
 966 is set, data will continue to be sent to the selected plugin, even though
 967 output to the binary audit log is stopped, pending the freeing of disk space.
 968 If \fB-setpolicy\fR \fB-cnt\fR is used, the blocking behavior is as described
 969 under OPTIONS, above. The value set for the queue high water mark is used
 970 within \fBauditd\fR as the default value for its queue limits unless overridden
 971 by means of the \fBqsize\fR attribute as described in \fBaudit_control\fR(4).
 972 .sp
 973 .LP
 974 The \fBauditconfig\fR options that modify or display process-based information
 975 are not affected by the \fBperzone\fR policy. Those that modify system audit
 976 data such as the terminal id and audit queue parameters are valid only in the
 977 global zone, unless the \fBperzone\fR policy is set. The display of a system
 978 audit reflects the local zone if \fBperzone\fR is set. Otherwise, it reflects
 979 the settings of the global zone.
 980 .sp
 981 .LP
 982 The \fB-setcond\fR option has been removed. Use \fBaudit\fR(1M) to enable or
 983 disable auditing.
 984 .sp
 985 .LP
 986 The \fB-getfsize\fR and \fB-setfsize\fR options have been removed. Use
 987 \fBaudit_binfile\fR(5) \fBp_fsize\fR to set the audit file size.