监控 Amazon S OpenSearch ervice 中的审计日志

如果您的 Amazon S OpenSearch ervice 域使用精细访问控制，则您可以为您的数据启用审计日志。审计日志是高度可定制的，允许您跟踪 OpenSearch集群上的用户活动，包括身份验证成功和失败、对身份验证的请求 OpenSearch、索引更改以及传入的搜索查询。默认配置会跟踪一组常用的用户操作，但建议根据您的具体需求定制设置。

就像OpenSearch 应用程序日志和慢速日志，S OpenSearch ervice 将审计日志发布到 L CloudWatch ogs。如果启用，则适用标准 CloudWatch 定价。

限制

审计日志具有以下限制：

启用审计日志

启用审结日志是一个两步流程。首先，您需要配置您的域，以便将审计日志发布到 Lo CloudWatch gs。然后，您需要启用 OpenSearch 控制面板中的审计日志记录，并配置它们以满足您的需求。

步骤 1：启用审计日志并配置访问策略

这些步骤将介绍如何使用控制台启用审计日志。您也可以使用或OpenSearch 服务 API 启用它们。 Amazon CLI

步骤 2：在 OpenSearch 仪表板中打开审计日志

在S OpenSearch ervice 控制台启用审计日志之后，您还必须在控制 OpenSearch 面板中启用它们，并对其进行配置以满足您的需求。

控制面板 UI 提供完全控制常规设置和合规性设置。有关所有配置选项的描述，请参阅审计日志设置。

使用启用审计日志记录 Amazon CLI

以下 Amazon CLI 命令在现有域上启用审计日志：

aws opensearch update-domain-config --domain-name my-domain --log-publishing-options "AUDIT_LOGS={CloudWatchLogsLogGroupArn=arn:aws:logs:us-east-1:123456789012:log-group:my-log-group,Enabled=true}"

您还可以在创建域时启用审计日志。有关详细信息，请参阅 Amazon CLI 命令参考。

使用配置 API 启用审计日志记录

对配置 API 的以下请求将启用现有域上的审计日志：

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "LogPublishingOptions": {
    "AUDIT_LOGS": {
      "CloudWatchLogsLogGroupArn":"arn:aws:logs:us-east-1:123456789012:log-group1:sample-domain",
      "Enabled":true
    }
  }
}

有关更多信息，请参阅 Amazon S OpenSearch ervice API 参考记录。

审计日志图层和类别

集群通信发生在两个单独的层：REST 层和传输层。

您可以启用或禁用整个图层的审计日志以及图层的各个审计类别。下表包含审计类别及其可用图层的汇总。

除了这些标准类别之外，精细的访问控制还提供了几个额外的类别，旨在满足数据合规性要求。

您可以使用任何类别和消息属性组合。例如，如果您发送 REST 请求为文档编制索引，您可能会在审计日志中看到以下行：

审计日志设置

审计日志有许多配置选项。

常规设置

常规设置允许您启用或禁用单个类别或整个图层。强烈建议将授予的权限和身份验证保留为排除的类别。否则，对集群的每个有效请求都会记录这些类别。

属性设置允许您自定义每个日志行中的详细信息量。

使用忽略设置排除一组用户或 API 路径：

合规性设置

合规性设置允许您优化索引、文档或字段级别的访问权限。

您可以为读取和写入事件日志记录指定以下设置。

您可以为读取事件指定以下设置。

{
  "index-name-pattern": [
    "field-name-pattern"
  ],
  "logs*": [
    "message"
  ],
  "twitter": [
    "id",
    "user*"
  ]
}

您可以为写入事件指定以下设置。

审计日志示例

本节包括一个示例配置、搜索请求以及索引的所有读取和写入事件的结果审计日志。

步骤 1：配置审计日志

启用审计日志发布到 Logs 组后，导航到 OpenSearch 控制面板审计日志记录页面，然后选择启用审计日志记录。 CloudWatch

步骤 2：执行读取和写入事件

步骤 3：观察日志

要包含请求正文，请返回 OpenSearch 控制面板中的合规性设置并禁用 “写入元数据”。要排除某个具体用户的事件，请将该用户添加到忽略的用户。

有关每个审计日志字段的描述，请参阅审计日志字段参考。有关搜索和分析审计日志数据的信息，请参阅 Amazon Logs 用户指南中的使用 Lo CloudWatch gs Insights 分析 CloudWatch 日志数据。

使用 REST API 配置审计日志

建议使用 OpenSearch 仪表板配置审计日志，但也可以使用精细访问控制 REST API。本节包含一个示例请求。有关 REST API 的完整文档位于OpenSearch 文档中。

PUT _opendistro/_security/api/audit/config
{
  "enabled": true,
  "audit": {
    "enable_rest": true,
    "disabled_rest_categories": [
      "GRANTED_PRIVILEGES",
      "AUTHENTICATED"
    ],
    "enable_transport": true,
    "disabled_transport_categories": [
      "GRANTED_PRIVILEGES",
      "AUTHENTICATED"
    ],
    "resolve_bulk_requests": true,
    "log_request_body": true,
    "resolve_indices": true,
    "exclude_sensitive_headers": true,
    "ignore_users": [
      "kibanaserver"
    ],
    "ignore_requests": [
      "SearchRequest",
      "indices:data/read/*",
      "/_cluster/health"
    ]
  },
  "compliance": {
    "enabled": true,
    "internal_config": true,
    "external_config": false,
    "read_metadata_only": true,
    "read_watched_fields": {
      "read-index-1": [
        "field-1",
        "field-2"
      ],
      "read-index-2": [
        "field-3"
      ]
    },
    "read_ignore_users": [
      "read-ignore-1"
    ],
    "write_metadata_only": true,
    "write_log_diffs": false,
    "write_watched_indices": [
      "write-index-1",
      "write-index-2",
      "log-*",
      "*"
    ],
    "write_ignore_users": [
      "write-ignore-1"
    ]
  }
}