setroubleshootd чрезмерное использование CPU и памяти

У меня свежая установка Centos 7, и я вижу, что setroubleshootd использует много CPU. Как я могу это исправить? Что делает этот процесс?

Прежде всего, вы не должны отключать SELinux. Так что же может вызывать высокую нагрузку CPU у setroubleshootd.

Попробуйте выяснить, в каком режиме работает SELinux на машине, набрав sestatus. Это должно отобразить несколько строк. Интересные части — это Статус SELinux: и Текущий режим, которые обычно являются включенным и принуждающим. Если текущий режим разрешающий, то SELinux ничего не блокирует, а только ведет журнал (что полезно для диагностики).

Предполагая, что SELinux включен и в принуждающем режиме, теперь взгляните на журнал /var/log/audit/audit.log. Я бы порекомендовал использовать tail -f /var/log/audit/audit.log, чтобы видеть живые изменения файла.

Поскольку у вас высокая нагрузка CPU у setroubleshootd, я предполагаю, что у вас есть постоянные изменения/записи в файле, что означает, что что-то постоянно нарушает политику SELinux, и вывод может дать вам первую подсказку, почему.

Для более глубокого устранения неполадок вы можете установить setroubleshoot-server с помощью yum install setroubleshoot-server. Этот пакет представляет собой набор инструментов, которые могут помочь вам найти истинную причину нарушения SELinux. Чаще всего это происходит, когда вы добавили файлы в систему без установки правильных разрешений SELinux или когда процесс пытается получить доступ к нетипичному файлу или папке.

Я бы рекомендовал вам сначала прочитать этот документ о SELinux и этот документ, чтобы получить общее представление, а затем взглянуть на документы вроде этого для вашей дистрибуции.

С SELinux есть определенный кривой обучения, и слишком много для простого ответа, но я никогда не отключал бы его на сервере с публичным доступом.

a) Установите setroubleshoot.x86_64 для графического интерфейса; это может быть проще, чем использовать tail.

# yum install setroubleshoot.x86_64 setroubleshoot-plugins.noarch

Добавление политик SE Linux для mongodb (и возможных других) может уменьшить нагрузку.

Обратите внимание, что предложения, которые он делает, могут иногда быть бесполезными или вводящими в заблуждение.

b) Переустановка setroubleshootd может быть вариантом:

yum reinstall setroubleshoot-server

setroubleshootd анализирует сообщения аудита, которые генерирует ядро, когда процесс выполняет действие, которое запрещено политикой SELinux. Он записывает полезные рекомендации о том, что вы, как системный администратор, можете с этим сделать.

Если вы получаете много сообщений аудита, то setroubleshootd будет постоянно активироваться и генерировать сообщения, выполняя много работы.

Как системный администратор, вы захотите исследовать коренную причину проблемы: большое количество сообщений аудита, вызванных процессами, пытающимися сделать то, что запрещает политика SELinux.

Вы можете использовать ausearch -m avc,user_avc -i -ts today, чтобы увидеть все записи аудита, зафиксированные с полуночи, и вы можете посмотреть свои системные журналы, чтобы узнать вывод setroubleshootd. Однако не следуйте его рекомендациям бездумно, это, вероятно, принесет больше вреда, чем пользы. Вы должны внимательно рассмотреть вывод таких инструментов.

Если вы хотите, чтобы он продолжал работать, но ограничить количество используемого процессора/памяти, выполните systemctl edit setroubleshootd.service, а затем воспользуйтесь директивами, документированными в systemd.resource-control(5), такими как CPUQuota= и MemoryMax=.

Вы также можете выбрать отключение механизма, который передает сообщения аудита в setroubleshootd для анализа. Этот механизм — это плагин auditd под названием sedispatch, и его можно отключить в файле /etc/audit/plugins.d/sedispatch.conf на современных системах (на старых системах есть отдельный процесс, audispd, который передает сообщения плагинам; его можно отключить в файле /etc/audisp/plugins.d/sedispatch.conf).

Вы также можете полностью удалить пакет setroubleshoot-server.

С учетом, что это старый вопрос, но ни одно из решений не дало результата. Я нашел этот ответ: полная деинсталляция flatpak на самом деле устранила чрезмерное использование CPU.

Этот демон setroubleshootd является частью SELinux (Security Enhanced Linux). SELinux был внедрен для предоставления типa контекста для файлов, чтобы добавить больше безопасности и соблюсти требования NSA. SELinux может вызывать проблемы, если он неправильно настроен и используется. Setroubleshootd мониторит и сообщает о проблемах SELinux и предоставляет рекомендации по их решению.

Определите, действительно ли вам нужно, чтобы SELinux работал. Если нет, отключите его.

Нажмите здесь, чтобы получить больше информации об отключении SELinux.