Utiliser les journaux d’audit

ArcGIS Enterprise on Kubernetes enregistre l’activité des utilisateurs et les modifications apportées au système dans des journaux d’audit. Les journaux d’audit constituent un outil important de contrôle et de résolution des problèmes que présentent les modifications critiques. Les journaux d’audit permettent d’identifier les membres ou processus de l’organisation qui ont apporté les modifications critiques, leurs effets sur le système et le moment où ces événements se sont produits.

Les journaux d’audit peuvent être traités par les outils SIEM (Security Information and Event Management, gestion des événements et des informations de sécurité) pour générer une piste d’audit, effectuer un suivi des tendances de l’activité de l’utilisateur et surveiller et traiter les éventuelles menaces de sécurité ou vulnérabilités.

Événements des journaux d’audit

Les journaux d’audit capturent des informations pour les événements suivants :

• Accès au site du portail de l’organisation
• Création, suppression, mise à jour et désactivation de comptes de membres
• Création et mise à jour des rôles d’utilisateur
• Ajout et configuration de groupes
• Ajout et suppression de membres dans un groupe
• Partage des éléments
• Modification de la propriété d’un élément
• Ajout, mise à jour, déplacement et suppression d’éléments

Afficher et capturer les journaux d’audit

Les événements d’audit générés par ArcGIS Enterprise on Kubernetes sont écrits dans les flux de sortie standard (stdout) des conteneurs. Kubernetes conserve temporairement ces flux sur les nœuds du cluster. Pour une conservation et une analyse à long terme, configurez une solution d’agrégation de journaux, telle qu’un collecteur de journaux ou un système de gestion des informations et événements de sécurité (SIEM), pour ingérer et stocker les événements d’audit.

Attention :

Sans collecte de journaux ou intégration SIEM, les journaux d’audit ne sont disponibles que si les conteneurs sont en cours d’exécution et peuvent être perdus lorsque les pods sont redémarrés, reprogrammés ou supprimés.

Les conteneurs Fluent Bit exécutés dans l’espace de noms ArcGIS collectent les journaux d’audit générés par ArcGIS Enterprise on Kubernetes. Pour consulter les événements d’audit à des fins de dépannage ou de validation, vous pouvez les récupérer manuellement à l’aide de l’exemple de commande suivant :

kubectl get pods -n arcgis --no-headers \
| awk '{print $1}' \
| while read pod; do
 kubectl logs -n arcgis "$pod" -c fluent-bit --ignore-errors 2>/dev/null
done \
| grep -i audit