关于auditd.conf中verify_email选项的检查时机问询

嘿，我来给你把这个问题讲明白哈！

先再明确下verify_email的作用，官方定义是这样的：

这个选项用于决定是否检查action_mail_acct里指定的邮箱地址对应的域名能否被解析，而且它必须写在action_mail_acct配置项之前，不然会默认启用（即默认值为yes）。

至于它的实际检查时机，主要分两种场景：

• auditd服务启动时：当你启动auditd服务，它加载/etc/audit/auditd.conf配置的过程中，就会执行这个邮箱域名的解析检查。如果解析失败，部分版本的auditd会给出警告日志，甚至可能直接拒绝启动服务。
• auditd配置重载时：如果你修改了auditd.conf之后，通过systemctl reload auditd或者给auditd进程发送SIGHUP信号来重载配置，这时候服务会重新读取配置文件，也会再次触发这个域名解析检查。

而你问到的「当audit事件发生时」，这时候不会再执行这个检查——因为域名解析验证已经在配置加载阶段完成了，事件触发邮件告警时，只会直接尝试发送邮件，不会再重复做域名解析的验证步骤。

备注：内容来源于stack exchange，提问作者J'e