Powerscale: Anleitung zum Entfernen von Auditprotokolldateien

Einführung

In OneFS 7.1 und höher erzeugt das SMB/NFS-Auditing Auditprotokolle für die nutzerdefinierten SMB/NFS-Events. Nachdem die Auditprotokolle geschrieben wurden, werden sie asynchron an den konfigurierten CEE-Server (Common Event Enabler) weitergeleitet. Der CEE-Server leitet die Protokolle dann an den definierten Auditanwendungsendpunkt weiter.

Auditprotokolle werden auf unbestimmte Zeit aufbewahrt. Die Protokolle werden im Ordner /ifs/.ifsvar/audit Verzeichnis und die folgenden Unterverzeichnisse, wobei nodeXXX ist die Node-ID (z. B. node001):

• /ifs/.ifsvar/audit/logs/
• /ifs/.ifsvar/audit/logs/nodeXXX
• /ifs/.ifsvar/audit/logs/nodeXXX/protocol

Nachdem das Auditing auf dem Cluster aktiviert wurde, werden alle Auditprotokolle in den aufgeführten Protokollunterverzeichnissen gesammelt. Auditprotokolle werden weiterhin erfasst, wenn die Auditfunktion aktiviert und später deaktiviert wird. Das Auditsubsystem sammelt und speichert Auditinformationen in Binärdateien, die auf eine Größe von ca. 1 GB anwachsen können. Wenn eine Binärdatei 1 GB erreicht, werden die Daten in die nächste Datei übertragen und für immer aufbewahrt. Die Dateien können nicht an einen anderen Speicherort verschoben werden.

 
Hinweis: Wenn das Auditing über einen längeren Zeitraum deaktiviert und dann zu Beginn der Auditprotokollerfassung aktiviert wird, muss jede Protokolldatei zur Verarbeitung an den CEE-Server gesendet werden. Dieser Vorgang kann bei vielen Dateien einige Zeit in Anspruch nehmen, wodurch die Systemleistung beeinträchtigt werden kann.

Alle Verlaufsprotokolle werden an den CEE-Server gesendet, wenn das Audit aktiviert ist. Echtzeitereignisse werden asynchron gesendet, nachdem Verlaufsprotokolle gesendet und verarbeitet wurden. Infolgedessen werden aktuelle Überwachungsereignisse durch die historische Protokollverarbeitung verzögert und zunächst nicht in der Überwachungsanwendung angezeigt.

 

Zusätzlich zu den physischen Dateien auf der Festplatte verwaltet OneFS einen temporären Cache mit Auditmeldungen, bevor die Meldungen auf die Festplatte geschrieben werden. Der standardmäßig maximal zulässige Cache beträgt 2048 Nachrichten. Um die aktuellen Cacheeinstellungen anzuzeigen, führen Sie den Befehl isi audit topics view protocol .

   

Wenn Sie OneFS 8.x bis 9.0.x ausführen, wenden Sie sich an den technischen Support von PowerScale, da das Entfernen der Auditprotokolldateien auf Mitarbeiter des technischen Supports von PowerScale beschränkt ist.