红帽全球峰会17.3. 使用日志
17.3.1. 在控制台中查看日志
若要对子系统进行故障排除，请检查服务器已记录的错误或信息。检查日志文件也可以监控服务器操作的很多方面。可以通过控制台查看一些日志文件。但是，仅具有审核员角色的用户才可以使用 第 17.3.2 节 “使用签名的审计日志” 中详述的方法访问审计日志。
查看日志文件的内容：
- 登录到控制台。
- 选择 Status 选项卡。
- 在 Logs 下，选择要查看的日志。
在 Display Options 部分中设置查看首选项。
- entries- 要显示的最大条目数。达到这个限制时，证书系统会返回与搜索请求匹配的任何条目。零(0)表示没有返回任何消息。如果该字段为空，服务器会返回每个匹配的条目，而不考虑找到的数字。
- Source- 选择要显示日志消息的证书系统组件或服务。选择 All 意味着会显示日志到此文件的所有组件记录的消息。
- Level- 选择代表用于过滤消息的日志级别的消息类别。
- filename- 选择要查看的日志文件。
- 单击 。
- 要查看完整条目，请双击它，或者选择条目，然后单击 。
17.3.2. 使用签名的审计日志
本节介绍审核员组中的用户如何显示并验证签名的审计日志。
17.3.2.1. 列出审计日志
以具有审核员特权的用户身份，使用 pki subsystem-audit-file-find 命令列出服务器上的现有审计日志文件。
例如，列出 server.example.com 上托管的 CA 上的审计日志文件：
# pki -h server.example.com -p 8443 -n auditor ca-audit-file-find
-----------------
3 entries matched
-----------------
File name: ca_audit.20170331225716
Size: 2883
File name: ca_audit.20170401001030
Size: 189
File name: ca_audit
Size: 6705
----------------------------
Number of entries returned 3
----------------------------
命令使用 ~/.dogtag/nssdb/ 目录中存储的 auditor 别名的客户端证书，以向 CA 进行身份验证。有关命令和替代身份验证方法中使用的参数的详情，请查看 pki (1) 手册页。
17.3.2.2. 下载审计日志
以具有审核员特权的用户身份，使用 pki subsystem-audit-file-retrieve 命令从服务器下载特定的审计日志。
例如，要从 server.example.com 上托管的 CA 下载审计日志文件：
- （可选）列出 CA 上的可用日志文件。请参阅 第 17.3.2.1 节 “列出审计日志”。
下载日志文件。例如，要下载
ca'audit文件：# pki -U https://server.example.com:8443 -n auditor ca-audit-file-retrieve ca_audit命令使用
~/.dogtag/nssdb/目录中存储的 auditor 别名的客户端证书，以向 CA 进行身份验证。有关命令和替代身份验证方法中使用的参数的详情，请查看pki (1)手册页。
下载日志文件后，您可以使用 grep 工具搜索特定的日志条目，例如：
# grep "\[AuditEvent=ACCESS_SESSION_ESTABLISH\]" log_file17.3.2.3. 验证签名的审计日志
如果启用了审计日志签名，则具有审核员权限的用户可以验证日志：
- 初始化 NSS 数据库并导入 CA 证书。详情请查看 Red Hat Certificate System 规划、安装和部署指南中的 第 2.5.1.1 节 “pki CLI 初始化” 和 导入证书到 NSS 数据库 部分。
如果 PKI 客户端数据库中不存在审计签名证书，请导入它：
为您要验证的子系统日志搜索审计签名证书。例如：
# pki ca-cert-find --name "CA Audit Signing Certificate" --------------- 1 entries found --------------- Serial Number: 0x5 Subject DN: CN=CA Audit Signing Certificate,O=EXAMPLE Status: VALID Type: X.509 version 3 Key Algorithm: PKCS #1 RSA with 2048-bit key Not Valid Before: Fri Jul 08 03:56:08 CEST 2016 Not Valid After: Thu Jun 28 03:56:08 CEST 2018 Issued On: Fri Jul 08 03:56:08 CEST 2016 Issued By: system ---------------------------- Number of entries returned 1 ----------------------------将审计签名证书导入到 PKI 客户端：
# pki client-cert-import "CA Audit Signing Certificate" --serial 0x5 --trust ",,P" --------------------------------------------------- Imported certificate "CA Audit Signing Certificate" ---------------------------------------------------
- 下载审计日志。请参阅 第 17.3.2.2 节 “下载审计日志”。
验证审计日志。
创建一个包含您要按时间顺序验证的审计日志文件列表的文本文件。例如：
# cat > ~/audit.txt << EOF ca_audit.20170331225716 ca_audit.20170401001030 ca_audit EOF使用
auditVerify工具验证签名。例如：# AuditVerify -d ~/.dogtag/nssdb/ -n "CA Audit Signing Certificate" \ -a ~/audit.txt Verification process complete. Valid signatures: 10 Invalid signatures: 0有关使用 auditVerify 的详情，请查看
AuditVerify(1)
17.3.3. 显示操作系统级别的审计日志
要使用以下说明查看操作系统级别的审计日志，必须根据 Red Hat Certificate System 规划、安装和部署指南中的 启用操作系统级审计日志 部分来配置 auditd 日志记录框架。
要显示操作系统级别访问日志，请以 root 用户身份使用 ausearch 工具，或以具有 sudo 实用程序的特权用户身份。
17.3.3.1. 显示审计日志删除事件
由于这些事件是密钥的（使用 rhcs_audit_deletion），因此请使用 the -k 参数来查找与该密钥匹配的事件：
# ausearch -k rhcs_audit_deletion17.3.3.2. 显示对 secret 和私钥的 NSS 数据库的访问
由于这些事件是密钥的（使用 rhcs_audit_nssdb），因此请使用 the -k 参数来查找与该密钥匹配的事件：
# ausearch -k rhcs_audit_nssdb17.3.3.3. 显示时间更改事件
由于这些事件是密钥的（使用 rhcs_audit_time_change），因此请使用 the -k 参数来查找与该密钥匹配的事件：
# ausearch -k rhcs_audit_time_change17.3.3.4. 显示软件包更新事件
由于这些事件是一个类型的消息（类型为 SOFTWARE_UPDATE），因此请使用 -m 参数查找与该类型匹配的事件：
# ausearch -m SOFTWARE_UPDATE17.3.3.5. 显示对 PKI 配置的更改
由于这些事件是密钥的（使用 rhcs_audit_config），因此请使用 the -k 参数来查找与该密钥匹配的事件：
# ausearch -k rhcs_audit_config17.3.4. 智能卡错误代码
智能卡可以向 TPS 报告某些错误代码；它们记录在 TPS 的调试日志文件中，具体取决于消息的原因。
| 返回码 | 描述 |
|---|---|
| 常规错误代码 | 6400 |
| 没有特定的诊断 | 6700 |
| Lc 中错误的长度 | 6982 |
| 未满足安全性状态 | 6985 |
| 不满意的使用条件 | 6a86 |
| P1 P2 不正确 | 6d00 |
| 无效的指令 | 6e00 |
| 无效的类 | 安装负载错误 |
| 6581 | 内存故障 |
| 6a80 | data 字段中的参数不正确 |
| 6a84 | 没有足够的内存空间 |
| 6a88 | 未找到引用的数据 |
| 删除错误 | 6200 |
| 应用程序已逻辑删除 | 6581 |
| 内存故障 | 6985 |
| 无法删除引用的数据 | 6a88 |
| 未找到引用的数据 | 6a82 |
| 未找到应用程序 | 6a80 |
| 命令数据中的不正确的值 | 获取数据错误 |
| 6a88 | 未找到引用的数据 |
| 获取状态错误 | 6310 |
| 更多可用数据 | 6a88 |
| 未找到引用的数据 | 6a80 |
| 命令数据中的不正确的值 | 加载错误 |
| 6581 | 内存故障 |
| 6a84 | 没有足够的内存空间 |
| 6a86 | P1/P2 不正确 |
| 6985 | 不满意的使用条件 |
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}