Вывод журнала аудита

Вывод аудита logfile — единственный вывод для аудита. Он записывает данные в файл <clustername>_audit.json в каталоге журналов.

События аудита отформатированы как JSON-документы, и каждое событие печатается на отдельной строке в файле <clustername>_audit.json. Сами записи не содержат разделителя конца строки. Формат JSON события аудита несколько специфичен, так как большинство полей используют синтаксис с точкой, упорядочены и содержат непустые строковые значения. Этот формат создаёт структурированный столбчатый вид, похожий на CSV, который проще визуально инспектировать (по сравнению с эквивалентным вложенным JSON-документом).

Однако есть несколько атрибутов, которые являются исключениями из вышеуказанного формата. Атрибуты put, delete, change, create и invalidate, которые присутствуют только для событий с атрибутом event.type: "security_config_change", содержат вложенное представление JSON изменений в безопасности, которые вступают в силу. Содержание изменения конфигурации безопасности не отображается как поля с точкой на верхнем уровне в документе события аудита. Это потому, что поля специфичны для конкретного вида изменения безопасности и не появляются в других событиях аудита. Преимущества столбчатого формата поэтому ограничены; экономия места благодаря вложенной структуре в данном случае предпочтительнее.

Когда присутствует атрибут request.body (см. Журналирование поисковых запросов), он содержит строковое значение с полным телом HTTP-запроса, закодированным в соответствии с JSON RFC 4677.

Существует список типов событий аудита, определяющий набор полей, а также примеры для каждого типа записи.

События и некоторые другие сведения о том, что регистрируется, можно контролировать с помощью настроек в файле elasticsearch.yml. См. Настройки аудита событий и Настройки информации о узле.

Вы также можете настроить, как записывается файл журнала, в файле log4j2.properties, расположенном в ES_PATH_CONF (или ознакомьтесь с соответствующей частью log4j2.properties в исходных кодах). По умолчанию информация об аудите добавляется в файл <clustername>_audit.json, расположенный в стандартном каталоге Elasticsearch logs (обычно расположенном по адресу $ES_HOME/logs).