Skip to main content

Arbeiten mit Überwachungsprotokollen

ArcGIS Enterprise on Kubernetes zeichnet Benutzeraktivitäten und Systemänderungen in Überwachungsprotokollen auf. Überwachungsprotokolle sind ein wichtiges Werkzeug zum Überwachen und Beheben von Problemen mit kritischen Änderungen. Mit Überwachungsprotokollen können Sie die Mitglieder oder Prozesse der Organisation identifizieren, die die kritischen Änderungen vorgenommen haben und deren Auswirkungen auf das System und den Zeitpunkt dieser Ereignisse ermitteln.

Überwachungsprotokolle können von SIEM-Werkzeugen (Security Information and Event Management) verarbeitet werden, um einen Überwachungspfad zu generieren, Trends bei Benutzeraktivitäten zu verfolgen sowie Sicherheitsrisiken und Schwachstellen zu überwachen und zu behandeln.

Ereignisse aus Überwachungsprotokollen

Überwachungsprotokolle erfassen Informationen zu den folgenden Ereignissen:

  • Zugreifen auf die Portal-Site der Organisation
  • Erstellen, Löschen, Aktualisieren und Deaktivieren von Mitgliedskonten
  • Erstellen und Aktualisieren von Benutzerrollen
  • Hinzufügen und Konfigurieren von Gruppen
  • Hinzufügen und Entfernen von Mitgliedern zu bzw. aus einer Gruppe
  • Freigeben von Elementen
  • Ändern des Besitzes von Elementen
  • Hinzufügen, Aktualisieren, Verschieben und Löschen von Elementen

Anzeigen und Erfassen von Überwachungsprotokollen

Ereignisse aus Überwachungsprotokollen, die von ArcGIS Enterprise on Kubernetes generiert werden, werden in die Standardausgabe-Streams (stdout) von Containern geschrieben. Kubernetes speichert diese Streams vorübergehend auf Cluster-Knoten. Richten Sie zur langfristigen Aufbewahrung und Analyse eine Lösung zur Protokollaggregation ein, beispielsweise einen Protokoll-Collector oder ein SIEM-System (Security Information and Event Management), um Ereignisse aus Überwachungsprotokollen zu erfassen und zu speichern.

Achtung:

Ohne Protokollsammlung oder SIEM-Integration stehen Überwachungsprotokolle nur zur Verfügung, solange die Container ausgeführt werden, und können verloren gehen, wenn Pods neu gestartet, neu geplant oder entfernt werden.

Die im ArcGIS-Namespace ausgeführten Fluent-Bit-Container erfassen die von ArcGIS Enterprise on Kubernetes generierten Überwachungsprotokolle. Um Ereignisse aus Überwachungsprotokollen zur Problembehandlung oder Validierung anzuzeigen, können Sie diese manuell mit dem folgenden Befehl abrufen:

kubectl get pods -n arcgis --no-headers \
| awk '{print $1}' \
| while read pod; do
 kubectl logs -n arcgis "$pod" -c fluent-bit --ignore-errors 2>/dev/null
done \
| grep -i audit