Хочется --pid в inotifywait

м.б. lsof подойдет?

нужен интерактивный lsof, снимок системы не интересен.

Запускай lsof по событию от inotify. Но это не сработает при создании файлов.

в inotify нет такого поля. можно написать велосипед на fuse, например (он-то точно умеет pid процесса), или, может быть, попробовать более продвинутые нотифаи.

Не гарантирует отлов всех событий, поскольку в момент времени от генерации события от inotify до отработки lsof, может произойти множество операций.

>более продвинутые нотифаи
есть на примете?

fanotify

google://linux+следить+за+доступом+к+каталогу
первая ссылка:
http://chla.ru/index.php/mod5/180?task=view

Оно?

Ядро у меня не столь новое, но спасибо.

auditd. Похоже оно. Несмотря на его избыточность, стоит попробовать.
Спасибо.

systemtap тогда уж ;-)

Рад помочь.
Кстати, я и сам не знал ни о auditd, ни о systemtap, пока не прочел этот тред. Зато теперь догадываюсь, как RH организовывали контроль за приложениями.