PowerScale. Просмотр журналов аудита OneFS
Summary: Эта статья будет полезна для заказчиков, у которых включен аудит в кластере и которые хотят просматривать журналы аудита непосредственно в OneFS, а не полагаться на стороннее средство аудита. ...
Instructions
OneFS может осуществлять аудит событий конфигурации системы, событий доступа к протоколам SMB (Server Message Block), NFS (Network File System) и распределенной файловой системы Hadoop (HDFS) в кластере PowerScale.
Все данные аудита хранятся в файлах, называемых разделами аудита, которые собирают данные журнала, которые могут быть в дальнейшем обработаны средствами аудита. Если включен контроль протоколов, события доступа к файлам через SMB, NFS и HDFS записываются в раздел аудита протокола. Если включен аудит конфигурации, программный интерфейс (API) отслеживает и записывает все события конфигурации в разделе аудита конфигурации.
Контроль не настроен по умолчанию. Чтобы включить аудит в системе, см. руководство по продукту Аудит файловой системы с помощью Dell PowerScale
После настройки аудита в OneFS все журналы аудита записываются в кластер в централизованном расположении под /ifs/.ifsvar/audit/logs. Журналы аудита записываются в двоичном формате, но OneFS предоставляет isi_audit_viewer для просмотра двоичных журналов аудита, хранящихся в кластере. Переменная isi_audit_viewer Инструмент может предоставить представление журналов протокола или конфигурации.
По умолчанию isi_audit_viewer Инструмент просматривает журналы аудита только с локального узла и только журналы за последние 24 часа. Есть несколько вариантов с isi_audit_viewer инструмент, который можно использовать для сужения поиска до определенной метки времени или узла:
Usage: isi_audit_viewer [ -n <nodeid> | -t <topic> | -s <starttime>| -e <endtime> | -v ] -n <nodeid> : Specify node id to browse (default: local node) -t <topic> : Choose topic to browse. Topics are "config" and "protocol" (default: "config") -s <start> : Browse audit logs starting at <starttime> -e <end> : Browse audit logs ending at <endtime> -v verbose : Prints out start / end time range before printing records Note: Start and End times are expressable as a date format "YYYY-MM-DD HH:MM:SS", where fields represent year/month/day/hours/minutes/seconds. If time is not specified, end time defaults to now and start time to 24 hours before end time. For example, the below command shows the protocol audit logs from node 3 for the month of June 2020: # isi_audit_viewer -n 3 -t protocol -s "2020-06-01 00:00:00" -e "2020-07-01 00:00:00"
Дополнительные сведения о значениях полезных данных аудита см. в следующей статье Isilon: Список значений полезных данных аудита Isilon.