auditd正常运行需同时满足：systemctl显示active(running)且enabled，auditctl -s返回enabled=1且pid为正整数，/var/log/audit/audit.log有近期写入内容。
直接用 systemctl 或 auditctl 就能快速确认 auditd 是否正常运行，关键是看两个核心指标：服务进程是否活跃、内核审计功能是否启用。
用 systemctl 查服务状态
这是最直观的方式，能同时看到服务是否启动、是否开机自启、最近运行日志：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 运行命令：
sudo systemctl status auditd - 正常输出中应包含 active (running)，且 Loaded 行显示
enabled - 如果显示
inactive或failed，说明服务未运行或异常
用 auditctl -s 看内核审计开关
即使服务进程在跑，内核层的审计功能也可能被关闭。这个命令返回的是底层状态：
- 运行命令：
sudo auditctl -s - 重点关注 enabled=1 —— 只有它是 1，审计事件才会被记录
- 同时检查 pid 值是否为正整数（如 pid 30170），表示 auditd 进程确实在工作
- 若 enabled=0，需执行
sudo systemctl restart auditd或手动启用：sudo auditctl -e 1
补充验证：查日志文件是否存在写入
服务和内核都正常，最终还得看日志有没有实际产生：
- 审计日志默认路径：
/var/log/audit/audit.log - 快速检查是否有新内容：
sudo tail -n 5 /var/log/audit/audit.log - 如果文件为空或长时间无更新，可能规则未配置、权限受限，或日志轮转已归档
