PowerScale：如何查看 OneFS 的审核日志

OneFS 可以审核 PowerScale 群集上的系统配置事件、Server Message Block （SMB）、Network File System （NFS） 和 Hadoop Distributed File System （HDFS） 协议访问事件。

所有审核数据都存储在称为审核主题的文件中，这些主题收集可由审核工具进一步处理的日志信息。如果启用了协议审核，通过 SMB、NFS 和 HDFS 的文件访问事件将记录在协议审核主题中。如果启用了配置审核，应用程序编程接口 （API） 会跟踪并记录配置审核主题中的所有配置事件。

默认情况下未配置审核，要在系统上启用审核，请参阅产品指南 使用 Dell PowerScale 进行文件系统审核在

OneFS 上配置审核后，所有审核日志都将记录在群集上的集中位置，位于以下位置： /ifs/.ifsvar/audit/logs。审核日志以二进制格式记录，但 OneFS 提供 isi_audit_viewer 用于查看群集上存储的二进制审核日志的工具。而 isi_audit_viewer 工具可以提供协议或配置日志的视图。

默认情况下， isi_audit_viewer 工具仅查看来自本地节点的审核日志，并且仅查看过去 24 小时的日志。有几个选项 isi_audit_viewer 可用于将搜索范围缩小到特定时间戳或节点的工具：

Usage: isi_audit_viewer [ -n <nodeid> | -t <topic> | -s <starttime>| -e <endtime> | -v ]
         -n <nodeid> : Specify node id to browse (default: local node)
         -t <topic>  : Choose topic to browse. Topics are "config" and "protocol" (default: "config")
         -s <start>  : Browse audit logs starting at <starttime>
         -e <end>    : Browse audit logs ending at <endtime>
         -v verbose  : Prints out start / end time range before printing records
         
Note: Start and End times are expressable as a date format "YYYY-MM-DD HH:MM:SS", where fields represent year/month/day/hours/minutes/seconds.
If time is not specified, end time defaults to now and start time to 24 hours before end time.

For example, the below command shows the protocol audit logs from node 3 for the month of June 2020:
# isi_audit_viewer -n 3 -t protocol -s "2020-06-01 00:00:00" -e "2020-07-01 00:00:00"

有关审核有效负载值的更多信息，请参阅以下文章 Isilon：Isilon 审核有效负载值列表。