ubuntu 怎么配置service auditd stop只能通过审计账户使用，其他账户不能使用？

在 Ubuntu 中，想要限制 `auditd` 服务停止的操作只允许特定审计账户执行，你可以按照以下步骤进行操作：

1. **创建一个新用户**：
首先，你需要创建一个新的用户专门用于审计操作。例如，我们可以创建一个名为 `audituser` 的用户，并将其添加到 `sudoers` 组：

   sudo useradd -m audituser
   sudo usermod -aG sudo audituser

2. **编辑 sudoers 文件**：
使用 `visudo` 或者直接编辑 `/etc/sudoers` 文件，在最后一行添加以下内容，指定 `audituser` 可以使用 `auditctl stop` 命令：

   audituser ALL=(ALL) NOPASSWD:/usr/sbin/auditctl stop

这一行告诉 `sudo`，`audituser` 用户可以在无需密码的情况下执行 `/usr/sbin/auditctl stop`。

3. **启用并配置 Audit Policy**：
如果你想让这个新的审计账户仅能通过审计事件触发 `stop` 操作，你需要编辑审计策略配置文件 `/etc/audit/audit.rules`。添加一个规则，例如：

   -A exit,always = root,audituser /sbin/stop $program

这将阻止除 `root` 和 `audituser` 外的所有用户执行 `/sbin/stop` 命令，除非它们是由审计系统触发的。

4. **重启审计服务**：
保存配置更改后，重启 `auditd` 服务使其生效：

   sudo service auditd restart

完成以上步骤后，`auditd` 服务将只允许 `audituser` 账户通过审计事件来停止服务，而其他账户则无法直接执行该操作。