PowerScale: Cómo eliminar archivos de registro de auditoría

Introducción

En OneFS 7.1 y versiones posteriores, la auditoría de SMB/NFS genera registros de auditoría para los eventos de SMB/NFS definidos por el usuario. Una vez escritos los registros de auditoría, estos se reenvían de manera asíncrona al servidor de Common Event Enabler (CEE) configurado. A continuación, el servidor CEE reenvía los registros al terminal de la aplicación de auditoría definido.

Los registros de auditoría se conservan indefinidamente. Los registros se almacenan en el archivo /ifs/.ifsvar/audit y los siguientes subdirectorios, donde nodeXXX es el ID del nodo (por ejemplo, node001):

• /ifs/.ifsvar/audit/logs/
• /ifs/.ifsvar/audit/logs/nodeXXX
• /ifs/.ifsvar/audit/logs/nodeXXX/protocol

Una vez que se habilita la auditoría en el clúster, todos los registros de auditoría se recopilan en los subdirectorios de protocolos enumerados. Los registros de auditoría se siguen recopilando si la función de auditoría está activada y posteriormente desactivada. El subsistema de auditoría recopila y almacena información de auditoría en archivos binarios, que pueden crecer hasta aproximadamente 1 GB de tamaño. Cuando un archivo binario alcanza 1 GB, los datos se transfieren al siguiente archivo y se conservan para siempre. Los archivos no se pueden mover a otra ubicación.

 
Nota: Si la auditoría se deshabilita durante un período prolongado y, a continuación, se habilita al inicio de la recopilación de registros de auditoría, cada archivo de registro se debe enviar al servidor CEE para su procesamiento. Este proceso puede tardar algún tiempo si hay muchos archivos y, como resultado, es posible que el rendimiento del sistema se ralentice.

Todos los registros históricos se envían al servidor CEE cuando la auditoría está habilitada. Los eventos en tiempo real se envían de manera asíncrona después de que se envían y procesan los registros históricos. Como resultado, el procesamiento de registros históricos retrasa los eventos de auditoría actuales y no se muestran inicialmente en la aplicación de auditoría.

 

Además de los archivos físicos en el disco, OneFS mantiene una caché temporal de mensajes de auditoría antes de que estos se escriban en el disco. La caché máxima permitida predeterminada es de 2048 mensajes. Para ver la configuración actual de la caché, ejecute el comando isi audit topics view protocol comando.

   

Si ejecuta OneFS 8.x a 9.0.x, comuníquese con el soporte técnico de PowerScale, ya que la eliminación de los archivos de registro de auditoría se limita al personal de soporte técnico de PowerScale.