4.2. 使用 tlog RHEL 系统角色将某些用户和组从会话记录中排除

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploy session recording excluding users and groups
     hosts: managed-node-01.example.com
     tasks:
       - name: Exclude users and groups
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.tlog
         vars:
           tlog_scope_sssd: all
           tlog_exclude_users_sssd:
             - jeff
             - james
           tlog_exclude_groups_sssd:
             - admins

   Copy to Clipboard Toggle word wrap

   tlog_scope_sssd: <value>

   all 值指定您要记录所有用户和组。

   tlog_exclude_users_sssd: <user_list>

   要从会话记录中排除的用户用户名的 YAML 列表。

   tlog_exclude_groups_sssd: <group_list>

   要从会话记录中排除的组 YAML 列表。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

验证

1. 检查 SSSD 置入文件的内容：

   # cat /etc/sssd/conf.d/sssd-session-recording.conf

   Copy to Clipboard Toggle word wrap

   您可以看到该文件包含您在 playbook 中设置的参数。

2. 以记录会话的用户身份登录，执行某些操作，然后注销。

3. 以 root 用户身份：

   1. 显示记录的会话列表：

      # journalctl _COMM=tlog-rec-sessio
      Nov 12 09:17:30 managed-node-01.example.com -tlog-rec-session[1546]: {"ver":"2.3","host":"managed-node-01.example.com","rec":"07418f2b0f334c1696c10cbe6f6f31a6-60a-e4a2","user":"demo-user",...
      ...

      Copy to Clipboard Toggle word wrap

      下一步需要 rec (recording ID)字段的值。

      请注意，由于 15 个字符限制，_COMM 字段的值会被缩短。

   2. 回放会话：

      # tlog-play -r journal -M TLOG_REC=<recording_id>

      Copy to Clipboard Toggle word wrap