Работа с журналами аудита

ArcGIS Enterprise on Kubernetes записывает действия пользователя и системные изменения в журналы аудита. Журналы аудита — важный инструмент для мониторинга и устранения неполадок при критических изменениях. С помощью журналов аудита можно определить участников организации или процессы, которые внесли критические изменения, их влияние на систему, а также время возникновения этих событий.

Журналы аудита могут обрабатываться инструментами Управления событиями и информационной безопасности (SIEM) для создания аудиторского следа, отслеживания тенденций в активности пользователей, а также для мониторинга и решения любых угроз безопасности или уязвимостей.

События журнала аудита

Журналы аудита собирают информацию для следующих событий:

• Доступ на сайт портала организации
• Создание, удаление, обновление и отключение учетных записей участников
• Создание и обновление пользовательских ролей
• Добавление и настройка групп
• Добавление и удаление участников из группы
• Публикация элементов
• Изменение владения элементами
• Добавление, обновление, перемещение и удаление элементов

Просмотр и захват журналов аудита

События аудита, созданные ArcGIS Enterprise on Kubernetes, записываются в потоки стандартного вывода (stdout) контейнеров. Kubernetes временно сохраняет эти потоки на узлах кластера. Для долгосрочного хранения и анализа настройте решение для агрегирования журналов, например сборщик журналов или систему управления информацией и событиями безопасности (SIEM), для приема и хранения событий аудита.

Внимание:

Без сбора журналов или интеграции с SIEM журналы аудита будут доступны только пока работают контейнеры и могут быть потеряны при перезапуске, перепланировании или удалении модулей.

Контейнеры Fluent Bit, работающие в пространстве имен arcgis, собирают журналы аудита, созданные ArcGIS Enterprise on Kubernetes. Чтобы просмотреть события аудита для устранения неполадок или проверки, вы можете вручную извлечь их, используя следующий пример команды:

kubectl get pods -n arcgis --no-headers \
| awk '{print $1}' \
| while read pod; do
 kubectl logs -n arcgis "$pod" -c fluent-bit --ignore-errors 2>/dev/null
done \
| grep -i audit