使用审计日志

ArcGIS Enterprise on Kubernetes 可将用户活动和系统变更记录到审计日志中。 审计日志是用于监控和排除关键更改故障的重要工具。 通过审计日志，您可以识别进行关键更改的组织成员或流程、这些更改对系统的影响以及这些事件发生的时间。

安全信息和事件管理 (SIEM) 工具可以对审计日志进行处理以生成审计追踪、追踪用户活动趋势以及监控并解决任何安全威胁或漏洞。

审计日志事件

审计日志将捕获以下事件的信息：

• 访问组织门户站点
• 创建、删除、更新和禁用成员账户
• 创建和更新用户角色
• 添加和配置群组
• 在群组中添加和移除成员
• 共享项目
• 更改项目所有权
• 添加、更新、移动和删除项目

查看并捕获审计日志

ArcGIS Enterprise on Kubernetes 生成的审计事件会写入容器的标准输出 (stdout) 流。 Kubernetes 会暂时将这些流保存在集群节点上。 要长期保存和分析，可配置日志聚合解决方案，如日志收集器或安全性信息和事件管理 (SIEM) 系统，以获取和存储审计事件。

注意：

如果没有集成日志收集或 SIEM 功能，审计日志只能在容器运行时提供，且在重新启动、重新调度或移除 Pod 时可能会丢失。

运行在 arcgis 命名空间中的 Fluent Bit 容器收集 ArcGIS Enterprise on Kubernetes 生成的审计日志。 要查看审计事件进行故障排除或验证，您可以使用以下命令示例手动检索：

kubectl get pods -n arcgis --no-headers \
| awk '{print $1}' \
| while read pod; do
 kubectl logs -n arcgis "$pod" -c fluent-bit --ignore-errors 2>/dev/null
done \
| grep -i audit