15.2.4.2. 安装后启用签名审计日志

当实例首次创建时，可以使用 pkispawn 命令的 pki_audit_group 部署参数启用签名的审计日志。但是，在创建实例时不会配置签名的审计日志，可以通过将审计日志目录的所有权重新分配给 auditor 系统用户组（如 pkiaudit ）来启用它们。
  1. 停止实例： 
    systemctl stop pki-tomcatd@instance_name.service
  2. 将签名的审计日志目录的组所有权设置为 PKI auditors 操作系统组，如 pkiaudit。这允许 PKI auditors 组中的用户具有对 signedAudit 目录的读取访问权限，以验证日志文件上的签名。无用户（除了 CertificateCertificate Systemnbsp;System user account, pkiuser）的用户应该有权访问此目录中的日志文件。 
    chgrp -R pkiaudit /var/log/pki/instance_name/subsystem_name/signedAudit
  3. 重启实例： 
    systemctl start pki-tomcatd@instance_name.service