Samba4 Проблемы логирования write, pwrite, read, pread, rename

[depresnak]

Здравствуйте столкнулся со следующей пролбемой

samba 4.9.5
config:

Код: [Выделить]

[global]
nt acl support = Yes
acl group control = Yes
acl map full control = True
inherit acls = Yes
map acl inherit = Yes
workgroup = WORKGROUP
server string = Samba
security = user
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 0
log level = 0 vfs:2
logging = 2
logging = file
panic action = /usr/share/samba/panic-action %d
server role = standalone server
obey pam restrictions = yes
unix password sync = yes
passwd program = /usr/bin/passwd %u
passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
pam password change = yes
map to guest = Bad Password
usershare allow guests = yes
encrypt passwords = yes
passdb backend = tdbsam

#======================= Share Definitions =======================

[обменник1]
        comment = Samarapb share directory
   inherit acls = yes
   inherit owner = yes
        path = /storage/Обменник1
        inherit permissions = yes
        hide unreadable = yes
        writeable = yes
        read only = no
        browseable = yes
        valid users = samarapb,  buzuluk, volgograd, moskva, nnovgorod, sevastopol, chelyabinsk, ufa
        hosts allow = 10.10.10.1, 10.10.10.190, 10.10.10.178, 10.10.10.170, 192.168.0.145, 192.168.9.13, 192.168.10.11, 192.168.10.12, 192.168.10.13, 192.168.12.11, 192.168.12.12, 192.168.12.13, 192.168.12.14, 192.168.13.11, 192.168.13.12, 192.168.13.13, 192.168.15.11, 192.168.27.12, 192.168.13.20, 192.168.0.31, 192.168.0.100, 192.168.11.15, 192.168.11.17, 192.168.28.12, 192.168.29.11, 192.168.33.12, 192.168.34.12
        vfs objects = acl_xattr recycle crossrename full_audit
        full_audit:prefix: = %u|%I|%L|%m|%s
        full_audit:prefix: = %u|%I|%L|%m|%s
        full_audit:success = connect, disconnect, mkdir, rmdir, read, pread, sendfile, write, rename, pwrite, fchown, chmod, fchmod
        full_audit:failure = none
        full_audit:facility = local5
        full_audit:priority = notice
        recycle:repository = /storage/recycle/.recycle
        btrfs: manipulate snapshots = no
        recycle:exclude = *.tmp,*.temp,*.o,*.obj,~$*,*.~??,*.trace,*.VOB,*.mp4,*.avi,*.crdownload,~*,*TMP,*.iso,*.flv,*.webm,*.MOV,*.mpg,*.wmv,*.exe
        recycle:excludedir = /tmp,/temp,/cache
        recycle:keeptree = yes
        recycle:touch = yes
        recycle:touch_mtime = yes
        recycle:versions = yes
        recycle:maxsize = 0
        recycle:directory_mode = 0777
В логах отсутствуют события read, pread, write, rename, pwrite

Например я создаю файл переименовываю его редактирую содержимое и удаляю, так-же удаляю папку в дериктории

Получаю следующий лог

Код: [Выделить]

Apr 14 10:29:33 samba smbd_audit: almetevsk|192.168.0.145|disconnect|ok|обменник1
Apr 14 10:29:33 samba smbd_audit: ufa|192.168.0.145|disconnect|ok|обменник1
Apr 14 10:29:34 samba smbd_audit: ufa|192.168.0.145|connect|ok|обменник1
Apr 14 10:29:51 samba smbd_audit: almetevsk|192.168.0.145|connect|ok|обменник1
Apr 14 10:30:04 samba smbd_audit: ufa|192.168.0.145|fchown|ok|/storage/Обменник1/Уфа/Новый текстовый документ.txt|1034|4294967295
Apr 14 10:30:04 samba smbd_audit: ufa|192.168.0.145|fchown|ok|/storage/Обменник1/Уфа/Новый текстовый документ.txt|1034|1034
Apr 14 10:31:16 samba smbd_audit: ufa|192.168.0.145|mkdir|ok|/storage/recycle/.recycle/Уфа/Тендеры
Apr 14 10:31:16 samba smbd_audit: ufa|192.168.0.145|mkdir|ok|/storage/recycle/.recycle/Уфа/Тендеры/57450
Apr 14 10:31:16 samba smbd_audit: ufa|192.168.0.145|mkdir|ok|/storage/recycle/.recycle/Уфа/Тендеры/57450/Образцы документов
Apr 14 10:31:16 samba smbd_audit: ufa|192.168.0.145|rmdir|ok|Уфа/Тендеры/57450/Образцы документов
Apr 14 10:31:16 samba smbd_audit: ufa|192.168.0.145|rmdir|ok|Уфа/Тендеры/57450
В чем может быть проблема?

[depresnak]

Если использовать extd_audit то все операции видны, но в нем нет возможности смотреть от чьего имени эти действия выполнялись, получается косяк только в full_audit я посмотрел изменения в самбе 4.9.5 они правили vfs_full_audit от ложных срабатываний может дело в этом, поменяли какую-то логику?