启用审计日志记录

在 Elasticsearch 中启用审计日志:

1. 在所有节点中，在 elasticsearch.yml 中将 xpack.security.audit.enabled 设置为 true。
2. 按照滚动重启步骤重启集群。

				PUT _cluster/settings
					{
  "persistent": {
    "xpack.security.audit.enabled": true
  }
}
		

在 Kibana 中启用审计日志:

1. 在 kibana.yml 中将 xpack.security.audit.enabled 设置为 true。
2. 重启 Kibana。

要了解如何在 Elasticsearch 集群中消费这些日志，请参阅使用 Filebeat 收集日志数据。

在 Elastic Cloud Hosted 部署中启用审计日志

1. 登录 Elastic Cloud 控制台。

2. 在主页或托管部署页面上找到您的部署，然后选择管理以访问其设置菜单。

3. 在部署菜单中，转到 Edit 页面。

4. 为 Elasticsearch 启用审计

   • 在 Elasticsearch 部分，选择 Manage user settings and extensions。对于具有现有用户设置的部署，您可能需要改为展开每个节点的 Edit elasticsearch.yml 箭头。
   • 添加设置 xpack.security.audit.enabled: true。

5. 为 Kibana 启用审计

   • 在 Kibana 部分，选择 Edit user settings。对于具有现有用户设置的部署，您可能需要改为展开 Edit kibana.yml 箭头。
   • 添加设置 xpack.security.audit.enabled: true。

6. 选择 Save changes。

您的部署将执行计划更改。更改完成后，审计日志将被传送到您的监控部署。

在 ECE 部署中启用审计日志

1. 登录 Cloud UI.

2. 在 Deployments 页面上，选择您的部署。

3. 在部署菜单中，转到 Edit 页面。

4. 为 Elasticsearch 启用审计

   • 在 Elasticsearch 部分，选择 Edit user settings and plugins。对于具有现有用户设置的部署，您可能需要改为展开第一个节点的 Edit elasticsearch.yml 箭头。
   • 添加设置 xpack.security.audit.enabled: true。

5. 为 Kibana 启用审计

   • 在 Kibana 部分，选择 Edit user settings。对于具有现有用户设置的部署，您可能需要改为展开 Edit kibana.yml 箭头。
   • 添加设置 xpack.security.audit.enabled: true。
   • 如果您的 Elastic Stack 版本低于 7.6.0，请添加设置 logging.quiet: false。

6. 选择 保存 (Save)。

您的部署将执行计划更改。更改完成后，审计日志将被传送到您的监控部署。

要在 ECK 管理的集群中启用审计日志，请将 xpack.security.audit.enabled: true 添加到每个 Elasticsearch nodeSet 的 config 部分以及 Kibana 对象规范的 config 部分中。

以下示例展示了此配置，以及向远程集群交付日志和指标的情况

apiVersion: elasticsearch.k8s.elastic.co/v1
kind: Elasticsearch
spec:
  monitoring:
    metrics:
      elasticsearchRefs:
      - name: monitoring
        namespace: observability
    logs:
      elasticsearchRefs:
      - name: monitoring
        namespace: observability
  nodeSets:
  - name: default
    config:
      xpack.security.audit.enabled: true
---
apiVersion: kibana.k8s.elastic.co/v1
kind: Kibana
spec:
  monitoring:
    metrics:
      elasticsearchRefs:
      - name: monitoring
        namespace: observability
    logs:
      elasticsearchRefs:
      - name: monitoring
        namespace: observability
  config:
    xpack.security.audit.enabled: true
		

启用后，审计日志将被收集并传输到 monitoring.logs 部分中引用的监控集群。如果未启用监控，审计日志将仅在容器级别可见。