红帽全球峰会17.3. 使用日志
17.3.1. 在控制台中查看日志
若要对子系统进行故障排除，请检查服务器已记录的错误或信息。检查日志文件也可以监控服务器操作的很多方面。可以通过控制台查看一些日志文件。但是，仅具有审核员角色的用户才可以使用 第 17.3.2 节 “使用签名的审计日志” 中详述的方法访问审计日志。
查看日志文件的内容：
- 登录到控制台。
- 选择 Status 选项卡。
- 在 Logs 下，选择要查看的日志。
在 Display Options 部分中设置查看首选项。
- entries- 要显示的最大条目数。达到这个限制时，证书系统会返回与搜索请求匹配的任何条目。零(0)表示没有返回任何消息。如果该字段为空，服务器会返回每个匹配的条目，而不考虑找到的数字。
- Source- 选择要显示日志消息的证书系统组件或服务。选择 All 意味着会显示日志到此文件的所有组件记录的消息。
- Level- 选择代表用于过滤消息的日志级别的消息类别。
- filename- 选择要查看的日志文件。
- 单击 。
- 要查看完整条目，请双击它，或者选择条目，然后单击 。
17.3.2. 使用签名的审计日志
本节介绍审核员组中的用户如何显示并验证签名的审计日志。
17.3.2.1. 列出审计日志
以具有审核员特权的用户身份，使用 pki subsystem-audit-file-find 命令列出服务器上的现有审计日志文件。
例如，列出 server.example.com 上托管的 CA 上的审计日志文件：
命令使用 ~/.dogtag/nssdb/ 目录中存储的 auditor 别名的客户端证书，以向 CA 进行身份验证。有关命令和替代身份验证方法中使用的参数的详情，请查看 pki (1) 手册页。
17.3.2.2. 下载审计日志
以具有审核员特权的用户身份，使用 pki subsystem-audit-file-retrieve 命令从服务器下载特定的审计日志。
例如，要从 server.example.com 上托管的 CA 下载审计日志文件：
- （可选）列出 CA 上的可用日志文件。请参阅 第 17.3.2.1 节 “列出审计日志”。
下载日志文件。例如，要下载
ca'audit文件：pki -U https://server.example.com:8443 -n auditor ca-audit-file-retrieve ca_audit
# pki -U https://server.example.com:8443 -n auditor ca-audit-file-retrieve ca_auditCopy to Clipboard Copied! Toggle word wrap Toggle overflow 命令使用
~/.dogtag/nssdb/目录中存储的 auditor 别名的客户端证书，以向 CA 进行身份验证。有关命令和替代身份验证方法中使用的参数的详情，请查看pki (1)手册页。
下载日志文件后，您可以使用 grep 工具搜索特定的日志条目，例如：
grep "\[AuditEvent=ACCESS_SESSION_ESTABLISH\]" log_file
# grep "\[AuditEvent=ACCESS_SESSION_ESTABLISH\]" log_file17.3.2.3. 验证签名的审计日志
如果启用了审计日志签名，则具有审核员权限的用户可以验证日志：
- 初始化 NSS 数据库并导入 CA 证书。详情请查看 Red Hat Certificate System 规划、安装和部署指南中的 第 2.5.1.1 节 “pki CLI 初始化” 和 导入证书到 NSS 数据库 部分。
如果 PKI 客户端数据库中不存在审计签名证书，请导入它：
为您要验证的子系统日志搜索审计签名证书。例如：
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 将审计签名证书导入到 PKI 客户端：
pki client-cert-import "CA Audit Signing Certificate" --serial 0x5 --trust ",,P"
# pki client-cert-import "CA Audit Signing Certificate" --serial 0x5 --trust ",,P" --------------------------------------------------- Imported certificate "CA Audit Signing Certificate" ---------------------------------------------------Copy to Clipboard Copied! Toggle word wrap Toggle overflow
- 下载审计日志。请参阅 第 17.3.2.2 节 “下载审计日志”。
验证审计日志。
创建一个包含您要按时间顺序验证的审计日志文件列表的文本文件。例如：
cat > ~/audit.txt << EOF ca_audit.20170331225716 ca_audit.20170401001030 ca_audit EOF
# cat > ~/audit.txt << EOF ca_audit.20170331225716 ca_audit.20170401001030 ca_audit EOFCopy to Clipboard Copied! Toggle word wrap Toggle overflow 使用
auditVerify工具验证签名。例如：AuditVerify -d ~/.dogtag/nssdb/ -n "CA Audit Signing Certificate" \ -a ~/audit.txt
# AuditVerify -d ~/.dogtag/nssdb/ -n "CA Audit Signing Certificate" \ -a ~/audit.txt Verification process complete. Valid signatures: 10 Invalid signatures: 0Copy to Clipboard Copied! Toggle word wrap Toggle overflow 有关使用 auditVerify 的详情，请查看
AuditVerify(1)
17.3.3. 显示操作系统级别的审计日志
要使用以下说明查看操作系统级别的审计日志，必须根据 Red Hat Certificate System 规划、安装和部署指南中的 启用操作系统级审计日志 部分来配置 auditd 日志记录框架。
要显示操作系统级别访问日志，请以 root 用户身份使用 ausearch 工具，或以具有 sudo 实用程序的特权用户身份。
17.3.3.1. 显示审计日志删除事件
由于这些事件是密钥的（使用 rhcs_audit_deletion），因此请使用 the -k 参数来查找与该密钥匹配的事件：
ausearch -k rhcs_audit_deletion
# ausearch -k rhcs_audit_deletion17.3.3.2. 显示对 secret 和私钥的 NSS 数据库的访问
由于这些事件是密钥的（使用 rhcs_audit_nssdb），因此请使用 the -k 参数来查找与该密钥匹配的事件：
ausearch -k rhcs_audit_nssdb
# ausearch -k rhcs_audit_nssdb17.3.3.3. 显示时间更改事件
由于这些事件是密钥的（使用 rhcs_audit_time_change），因此请使用 the -k 参数来查找与该密钥匹配的事件：
ausearch -k rhcs_audit_time_change
# ausearch -k rhcs_audit_time_change17.3.3.4. 显示软件包更新事件
由于这些事件是一个类型的消息（类型为 SOFTWARE_UPDATE），因此请使用 -m 参数查找与该类型匹配的事件：
ausearch -m SOFTWARE_UPDATE
# ausearch -m SOFTWARE_UPDATE17.3.3.5. 显示对 PKI 配置的更改
由于这些事件是密钥的（使用 rhcs_audit_config），因此请使用 the -k 参数来查找与该密钥匹配的事件：
ausearch -k rhcs_audit_config
# ausearch -k rhcs_audit_config17.3.4. 智能卡错误代码
智能卡可以向 TPS 报告某些错误代码；它们记录在 TPS 的调试日志文件中，具体取决于消息的原因。
| 返回码 | 描述 |
|---|---|
| 常规错误代码 | 6400 |
| 没有特定的诊断 | 6700 |
| Lc 中错误的长度 | 6982 |
| 未满足安全性状态 | 6985 |
| 不满意的使用条件 | 6a86 |
| P1 P2 不正确 | 6d00 |
| 无效的指令 | 6e00 |
| 无效的类 | 安装负载错误 |
| 6581 | 内存故障 |
| 6a80 | data 字段中的参数不正确 |
| 6a84 | 没有足够的内存空间 |
| 6a88 | 未找到引用的数据 |
| 删除错误 | 6200 |
| 应用程序已逻辑删除 | 6581 |
| 内存故障 | 6985 |
| 无法删除引用的数据 | 6a88 |
| 未找到引用的数据 | 6a82 |
| 未找到应用程序 | 6a80 |
| 命令数据中的不正确的值 | 获取数据错误 |
| 6a88 | 未找到引用的数据 |
| 获取状态错误 | 6310 |
| 更多可用数据 | 6a88 |
| 未找到引用的数据 | 6a80 |
| 命令数据中的不正确的值 | 加载错误 |
| 6581 | 内存故障 |
| 6a84 | 没有足够的内存空间 |
| 6a86 | P1/P2 不正确 |
| 6985 | 不满意的使用条件 |
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}