14.2. 監査ログメッセージのサンプル
ログメッセージの形式は次のとおりです。
{ "headers": { "Accept-Encoding": [ "gzip" ], "Content-Length": [ "586" ], "Content-Type": [ "application/json" ], "User-Agent": [ "Go-http-client/1.1" ] }, "data": { "audit": { "interaction": "CREATE", "method": "UI", "request": { "endpoint": "/v1/notifiers", "method": "POST", "source": { "requestAddr": "10.131.0.7:58276", "xForwardedFor": "8.8.8.8", }, "sourceIp": "8.8.8.8", "payload": { "@type": "storage.Notifier", "enabled": true, "generic": { "auditLoggingEnabled": true, "endpoint": "http://samplewebhookserver.com:8080" }, "id": "b53232ee-b13e-47e0-b077-1e383c84aa07", "name": "Webhook", "type": "generic", "uiEndpoint": "https://localhost:8000" } }, "status": "REQUEST_SUCCEEDED", "time": "2019-05-28T16:07:05.500171300Z", "user": { "friendlyName": "John Doe", "role": { "globalAccess": "READ_WRITE_ACCESS", "name": "Admin" }, "username": "john.doe@example.com" } } } }
{
"headers": {
"Accept-Encoding": [
"gzip"
],
"Content-Length": [
"586"
],
"Content-Type": [
"application/json"
],
"User-Agent": [
"Go-http-client/1.1"
]
},
"data": {
"audit": {
"interaction": "CREATE",
"method": "UI",
"request": {
"endpoint": "/v1/notifiers",
"method": "POST",
"source": {
"requestAddr": "10.131.0.7:58276",
"xForwardedFor": "8.8.8.8",
},
"sourceIp": "8.8.8.8",
"payload": {
"@type": "storage.Notifier",
"enabled": true,
"generic": {
"auditLoggingEnabled": true,
"endpoint": "http://samplewebhookserver.com:8080"
},
"id": "b53232ee-b13e-47e0-b077-1e383c84aa07",
"name": "Webhook",
"type": "generic",
"uiEndpoint": "https://localhost:8000"
}
},
"status": "REQUEST_SUCCEEDED",
"time": "2019-05-28T16:07:05.500171300Z",
"user": {
"friendlyName": "John Doe",
"role": {
"globalAccess": "READ_WRITE_ACCESS",
"name": "Admin"
},
"username": "john.doe@example.com"
}
}
}
}
リクエストの送信元 IP アドレスがソースパラメーターに表示されるため、監査ログリクエストを調査し、その送信元を特定することが容易になります。
リクエストの送信元 IP アドレスを決定するために、RHACS は次のパラメーターを使用します。
-
xForwardedFor
: X-Forwarded-For ヘッダー。 -
requestAddr
: リモートアドレスヘッダー。 -
sourceIp
: HTTP リクエストの IP アドレス。
重要
ソース IP アドレスの判別は、Central を外部に公開する方法によって異なります。次のオプションを検討できます。
- Kubernetes 外部ロードバランサーサービスタイプを使用して Google Kubernetes Engine (GKE) または Amazon Elastic Kubernetes Service (Amazon EKS) で Central を実行している場合など、Central をロードバランサーの背後で公開する場合は、クライアントソース IP の保持 を参照してください。
- X-Forwarded-For ヘッダー を使用してリクエストを転送する Ingress コントローラーの背後で Central を公開する場合、設定を変更する必要はありません。
- TLS パススルールートを使用して Central を公開する場合、クライアントの送信元 IP アドレスを特定できません。クラスター内部 IP アドレスは、クライアントの送信元 IP アドレスとして送信元パラメーターに表示されます。