在su之后审计auid变化

我尝试使用selinux和audit.log来实现我的RHEL系统的个人责任。 我按照这里给出的指示： 在生产服务器上loggingpipe理员运行的所有命令

如果我理解正确，pam_loginuid.so应该保留用于login的UID并将其设置为audit.log文件中的AUID。 不幸的是， 苏之后不起作用。 当我login到系统并调用cat / proc / self / loginuid时，它显示我的正确的UID。 如果我调用sudo su –并再次调用cat / proc / self / loginuid ，它将显示0.同样，在sudo su –之后调用的命令，在audit.log中使用ID 0作为AUID。

我在这里做错了什么？

这是我的pam.d / sshd文件：

• 事件4656即使手柄操纵审计被禁用
• Samba模块full_audit正在logging没有发生的操作
• 审核远程桌面用户正在使用的版本
• 在交换服务器中审核邮箱有什么优缺点？
• AWS防火墙configuration审查

auth include system-auth account required pam_nologin.so account include system-auth password include system-auth session optional pam_keyinit.so revoke session required pam_loginuid.so session include system-auth 

我在/etc/grub.conf中启用了audit = 1，并按照上面的post所述编辑了/etc/audit/audit.rules。