PowerFlex 4.X: Konfigurieren von Auditprotokollen in SVMs und reinen PowerFlex-Storage-Nodes

Konfigurieren von Auditprotokollen in SVMs und reinen PowerFlex-Storage-Nodes

Verwenden Sie dieses Verfahren, um Auditprotokolle eines Nutzers in einer separaten Datei zu konfigurieren und zu verwalten

commands.log

 in SVMs und reinen PowerFlex-Storage-Nodes und übertragen Sie sie an die Remoteserver.

Schritte

1. Melden Sie sich bei jeder SVM oder jedem reinen PowerFlex-Storage-Node an, indem Sie Folgendes verwenden:

SSH

2. Führen Sie die folgenden Befehle aus, um alle Befehle zu notieren, die von den NutzerInnen ausgeführt werden:
   1. Bearbeiten Sie die systemweite BASH-Laufzeitkonfigurationsdatei:

#sudo -e /etc/bash.bashrc

1. 2. Fügen Sie Folgendes am Ende der Datei hinzu:

export PROMPT_COMMAND='RETRN_VAL=$?;logger -p security.debug "$(whoami) [$$]: $ (history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'

1. 3. Drücken Sie Esc+:wq , um die Datei zu speichern.
   4. So richten Sie die Auditprotokollierung für local6 mit einer neuen Datei wie folgt ein 

      commands.log

       

      Führen Sie den folgenden Befehl aus, um die Remote-Syslog-BASH-Laufzeitkonfigurationsdatei zu bearbeiten:

# sudo -e /etc/rsyslog.d/bash.conf

1. 5. Geben Sie Folgendes ein:

security.* /var/log/commands

1. 6. Drücken Sie Esc+:wq , um die Datei zu speichern.

3. So leiten Sie die Auditprotokolldatei weiter 

   /var/log/audit/audit.log

      Zum Remote-Syslog-Server, bearbeiten /etc/audit/ plugins.d/syslog.conf und gehen Sie wie folgt vor:
   1. Stellen Sie active=yes ein.
   2. Append security in args:

Zum Beispiel:

#vi /etc/audit/plugins.d/syslog.conf
active = yes # changes made from No to Yes direction = out
path = /sbin/audisp-syslog type = always
args = LOG_INFO LOG_security # append security to write the audit logs to remote server
format = string

4. So übertragen Sie die Protokolle an den Remoteserver:
   1. Bearbeiten Sie die rsyslog.conf -Datei zu senden:

# vi /etc/rsyslog.conf

1. 2. Fügen Sie die folgenden Zeilen hinzu, um die Protokolle an den Remoteserver weiterzuleiten:

$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputRunFileMonitor
local6.* @<remoteserverIP>:514  #Remote server IP address to be updated

In PowerFlex Manager werden sowohl TCP- als auch UDP-Verbindungen unterstützt und für die Syslog-Übertragung wird die Portnummer 514 verwendet.

5. Starten Sie den Remote-Syslog-Service neu:

systemctl restart rsyslog.service

6. So verwalten Sie die Protokolldatei /etc/logrotate.conf:

a. Um die Datei zu bearbeiten, geben Sie Folgendes ein: 

# vi /etc/logrotate.conf.

b. Aktualisieren Sie die folgenden Zeilen:

## AUDIT LOG###
/var/log/commands { compress
dateext maxage 14
rotate 2 missingok notifempty size +4096k
}

c. Typ :wq um die Datei zu speichern.

Eine vollständige Anleitung finden Sie im Administrationshandbuch für Dell PowerFlex Appliance mit PowerFlex 4.x.