降低风险和恢复操作

流程

1. 安装 ReaR 工具：

   # dnf install rear

2. 在您选择的编辑器中修改 ReaR 配置文件，例如：

   # vi /etc/rear/local.conf

3. 在 /etc/rear/local.conf 中添加备份设置详情。例如，在使用 NETFS 备份方法时添加以下行：

   BACKUP=NETFS
   BACKUP_URL=backup.location

   使用备份位置的 URL 替换 backup.location。

4. 要将 ReaR 配置为在创建新归档时保留之前的备份归档，还需要将以下行添加到配置文件中：

   NETFS_KEEP_OLD_BACKUP_COPY=y

5. 要让递增形式进行备份，在每个运行中只备份修改了的文件，添加以下行：

   BACKUP_TYPE=incremental

6. 创建一个救援系统：

   # rear mkrescue

7. 根据恢复计划创建一个备份。例如，在使用 NETFS 备份方法时请输入：

   # rear mkbackuponly

   另外，您可以通过运行以下命令来在一个步骤中创建救援系统和备份：

   # rear mkbackup

   该命令结合了 rear mkrescue 和 rear mkbackuponly 命令的功能。

流程

1. 将以下变量添加到 /etc/rear/local.conf 中来配置 ReaR，以便在 64 位 IBM Z 构架上生成救援镜像：

   1. 要配置 IPL 输出方法，请添加 OUTPUT=IPL。

   2. 要配置备份方法和目的地，请添加 BACKUP 和 BACKUP_URL 变量。例如：

      BACKUP=NETFS
      
      BACKUP_URL=nfs://<nfsserver_name>/<share_path>

      重要

      目前在 64 位 IBM Z 构架上不支持本地备份存储。

   3. 可选：您还可以配置 OUTPUT_URL 变量来保存内核和 initrd 文件。默认情况下，OUTPUT_URL 与 BACKUP_URL 保持一致。

2. 要执行备份和救援镜像创建：

   # rear mkbackup

3. 这会在 BACKUP_URL 或 OUTPUT_URL（如果设置了）变量指定的位置创建内核和 initrd 文件，以及使用指定的备份方法所做的备份。

   警告

   救援过程会重新格式化所有连接到系统的 DASD（直接附加的存储设备）。如果系统存储设备中存在任何有价值的数据，则不要尝试系统恢复。这还包括用 zipl 引导装载程序、ReaR 内核和 initrd 准备的设备，用来引导到救援环境。确保保留一份副本。

4. 要恢复系统，请使用之前创建的 ReaR 内核和 initrd 文件，并从直接附加的存储设备(DASD)或使用 zipl 引导装载程序、内核和 initrd 准备的附加了引导光纤通道协议(FCP)的 SCSI 设备引导。
5. 当救援内核和 initrd 引导时，它会启动 ReaR 救援环境。继续系统恢复。

流程

1. 登录到 RHEL 10 web 控制台。

2. 点 Logs。

   

3. 点击列表中的选定日志条目条目，打开日志条目详情。

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Logs。

3. 默认情况下，Web 控制台显示最新的日志条目。要根据具体时间范围过滤，请点 Time 下拉菜单并选择一个首选的选项。

   

4. 默认情况下会显示 Error 及更高级别的日志列表。要根据不同的优先级过滤，请点击 Error 及更高下拉菜单并选择一个首选的优先级。

   

5. 默认情况下，Web 控制台会显示所有标识符的日志。要过滤特定标识符的日志，请点 All 下拉菜单并选择标识符。

   

6. 要打开日志条目，请点所选日志。

1. 在搜索字段中输入 identifier:systemd since:2020-10-22 JOB_TYPE=start,restart。

2. 检查结果。

   

1. 在搜索字段中输入 service:cockpit boot:-1 error|fail。

2. 检查结果。

   

流程

1. 登录到 RHEL 10 web 控制台。
2. 点 Logs。

3. 使用下拉菜单指定您想要过滤的三个主要的限定符 - 时间范围、优先级和标识符。

   优先级（Priority） 限定符总需要有一个值。如果没有指定，它会自动过滤 Error 及以上 优先级。请注意，您设置的选项反映了在文本搜索框中。

4. 指定您要过滤的日志字段。

   您可以添加几个日志字段。

5. 您可以使用自由格式的字符串搜索任何其他内容。搜索框也接受正则表达式。

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure journald
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure persistent logging
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.journald
         vars:
           journald_persistent: true
           journald_max_disk_size: <size>
           journald_per_user: true
           journald_sync_interval: <interval>

   示例 playbook 中指定的设置包括如下：

   journald_persistent: true

   启用持久性日志记录。

   journald_max_disk_size: <size>

   指定日志文件的最大磁盘空间大小（以 MB 为单位），例如 2048。

   journald_per_user: true

   配置 journald 来为每个用户单独保留日志数据。

   journald_sync_interval: <interval>

   设置同步间隔（以分钟为单位），例如 1。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.journald/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 可选： 要为 rsyslog 流量使用不同的端口，请将 syslogd_port_t SELinux 类型添加到端口。例如，启用端口 30514 ：

   # semanage port -a -t syslogd_port_t -p tcp 30514

2. 可选： 要为 rsyslog 流量使用不同的端口，请将 firewalld 配置为允许该端口上传入的 rsyslog 流量。例如，允许端口 30514 上的 TCP 流量：

   # firewall-cmd --zone=<zone_name> --permanent --add-port=30514/tcp
   success
   # firewall-cmd --reload

3. 在 /etc/rsyslog.d/ 目录中创建一个新文件（例如，remotelog.conf），并插入以下内容：

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides TCP syslog reception
   module(load="imtcp")
   
   # Adding this ruleset to process remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imtcp" port="30514" ruleset="remote1")

4. 将更改保存到 /etc/rsyslog.d/remotelog.conf 文件。

5. 测试 /etc/rsyslog.conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

6. 确保 rsyslog 服务在日志记录服务器中运行并启用：

   # systemctl status rsyslog

7. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

8. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

   # systemctl enable rsyslog

流程

1. 在 /etc/rsyslog.d/ 目录中创建一个名为 的新文件，如 10-remotelog.conf，并插入以下内容：

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="30514" protocol="tcp"
        )

   其中：

   • queue.type="linkedlist" 设置启用 LinkedList 内存中队列，
   • queue.filename 设置定义磁盘存储。备份文件是使用 example_fwd 前缀，在之前全局 workDirectory 指令指定的工作目录中创建的。
   • action.resumeRetryCount -1 设置防止 rsyslog 在服务器没有响应而重试连接时丢弃消息，
   • 如果 rsyslog 关闭，queue.saveOnShutdown="on" 设置会保存内存中的数据。

   • 最后一行将所有收到的消息转发到日志记录服务器。端口规格是可选的。

     使用这个配置，rsyslog 会向服务器发送消息，但如果远程服务器无法访问，则会将消息保留在内存中。只有 rsyslog 耗尽配置的内存队列空间或需要关闭时，才能创建磁盘上的文件，从而让系统性能受益。

   注意

   rsyslog 按照一般顺序处理配置文件 /etc/rsyslog.d/。

2. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统上，查看 /var/log/messages 日志，例如：

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   其中 hostname 是客户端系统的主机名。请注意，日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 配置服务器以从您的客户端系统接收加密日志：

   1. 在 /etc/rsyslog.d/ 目录中创建一个新文件，例如 securelogser.conf。

   2. 要加密通信，配置文件必须包含指向服务器的证书文件的路径、所选身份验证方法，以及支持 TLS 加密的流驱动程序。在 /etc/rsyslog.d/securelogser.conf 文件中添加以下行：

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/server-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/server-key.pem"
      )
      
      # TCP listener
      module(
        load="imtcp"
        PermittedPeer=["client1.example.com", "client2.example.com"]
        StreamDriver.AuthMode="x509/name"
        StreamDriver.Mode="1"
        StreamDriver.Name="ossl"
      )
      
      # Start up listener at port 514
      input(
        type="imtcp"
        port="514"
      )

      注意

      如果您更喜欢 GnuTLS 驱动程序，请使用 StreamDriver.Name="gtls" 配置选项。有关比 x509/name 严格性低的验证模式的更多信息，请参阅使用 rsyslog-doc 软件包安装的文档。

   3. 可选：要自定义连接配置，请使用以下内容替换 input 部分：

      input(
        type="imtcp"
        Port="50515"
        StreamDriver.Name="<driver>"
        streamdriver.CAFile="/etc/rsyslog.d/<ca1>.pem"
        streamdriver.CertFile="/etc/rsyslog.d/<server1_cert>.pem"
        streamdriver.KeyFile="/etc/rsyslog.d/<server1_key>.pem"
      )

      • 根据您要使用的驱动程序，将 <driver> 替换为 ossl 或 gtls。
      • 将 <ca1> 替换为 CA 证书，将 <server1_cert> 替换为证书，将 <server1_key> 替换为自定义连接的密钥。
   4. 将更改保存到 /etc/rsyslog.d/securelogser.conf 文件。

   5. 验证 /etc/rsyslog.conf 文件的语法以及 /etc/rsyslog.d/ 目录中的任何文件：

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   6. 确保 rsyslog 服务在日志记录服务器中运行并启用：

      # systemctl status rsyslog

   7. 重启 rsyslog 服务：

      # systemctl restart rsyslog

   8. 可选： 如果没有启用 Rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

2. 配置客户端以将加密日志发送到服务器：

   1. 在客户端系统上，在 /etc/rsyslog.d/ 目录中创建一个名为 的新文件，如 securelogcli.conf。

   2. 在 /etc/rsyslog.d/securelogcli.conf 文件中添加以下行：

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/client-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/client-key.pem"
      )
      
      
      # Set up the action for all messages
      *.* action(
        type="omfwd"
        StreamDriver="ossl"
        StreamDriverMode="1"
        StreamDriverPermittedPeers="server.example.com"
        StreamDriverAuthMode="x509/name"
        target="server.example.com" port="514" protocol="tcp"
      )

      注意

      如果您更喜欢 GnuTLS 驱动程序，请使用 StreamDriver.Name="gtls" 配置选项。

   3. 可选：要自定义连接配置，请使用以下内容替换 action 部分：

      local1.* action(
        type="omfwd"
        StreamDriver="<driver>"
        StreamDriverMode="1"
        StreamDriverAuthMode="x509/certvalid"
        streamDriver.CAFile="/etc/rsyslog.d/<ca1>.pem"
        streamDriver.CertFile="/etc/rsyslog.d/<client1_cert>.pem"
        streamDriver.KeyFile="/etc/rsyslog.d/<client1_key>.pem"
        target="server.example.com" port="514" protocol="tcp"
        )

      • 根据您要使用的驱动程序，将 <driver> 替换为 ossl 或 gtls。
      • 将 <ca1> 替换为 CA 证书，将 <client1_cert> 替换为证书，将 <client1_key> 替换为自定义连接的密钥。
   4. 将更改保存到 /etc/rsyslog.d/securelogcli.conf 文件中。

   5. 验证 /etc/rsyslog.conf 文件的语法以及 /etc/rsyslog.d/ 目录中的其他文件：

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   6. 确保 rsyslog 服务在日志记录服务器中运行并启用：

      # systemctl status rsyslog

   7. 重启 rsyslog 服务：

      # systemctl restart rsyslog

   8. 可选： 如果没有启用 Rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统上，查看 /var/log/messages 日志，例如：

   # cat /var/log/remote/msg/<hostname>/root.log
   Feb 25 03:53:17 <hostname> root[6064]: test

   其中 <hostname> 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 可选：要将不同的端口用于 rsyslog 流量，而不是默认端口 514 ：

   1. 将 syslogd_port_t SELinux 类型添加到 SELinux 策略配置中，使用您要 rsyslog 的端口号替换 portno ：

      # semanage port -a -t syslogd_port_t -p udp portno

   2. 配置 firewalld 以允许传入的 rsyslog 流量，使用您要 rsyslog 使用的端口替换 portno，区替换 zone：

      # firewall-cmd --zone=zone --permanent --add-port=portno/udp
      success
      # firewall-cmd --reload

   3. 重新载入防火墙规则：

      # firewall-cmd --reload

2. 在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，如 remotelogserv.conf，并插入以下内容：

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides UDP syslog reception
   module(load="imudp")
   
   # This ruleset processes remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imudp" port="514" ruleset="remote1")

   其中 514 是 rsyslog 默认使用的端口号。您可以指定不同的端口。

3. 验证 /etc/rsyslog.conf 文件以及 /etc/rsyslog.d/ 目录中的所有 .conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...

4. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

5. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

   # systemctl enable rsyslog

流程

1. 在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，如 10-remotelogcli.conf，并插入以下内容：

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="portno" protocol="udp"
        )

   其中：

   • queue.type="linkedlist" 设置启用一个 LinkedList 内存中队列。
   • queue.filename 设置定义磁盘存储。备份文件使用之前全局 workDirectory 指令指定的工作目录中的 example_fwd 前缀创建。
   • action.resumeRetryCount -1 设置可防止 rsyslog 在重试时丢弃消息（如果服务器没有响应）。
   • 如果 rsyslog 关闭，启用的 queue.saveOnShutdown="on" 设置会保存内存中的数据。
   • portno 值是您要 rsyslog 使用的端口号。默认值为 514。

   • 最后一行将所有收到的消息转发到日志记录服务器，端口规格是可选的。

     使用这个配置，rsyslog 会向服务器发送消息，但如果远程服务器无法访问，则会将消息保留在内存中。只有 rsyslog 耗尽配置的内存队列空间或需要关闭时，才能创建磁盘上的文件，从而让系统性能受益。

   注意

   rsyslog 按照一般顺序处理配置文件 /etc/rsyslog.d/。

2. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

3. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

   # systemctl enable rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统中，查看 /var/log/remote/msg/hostname/root.log 日志，例如：

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   其中 hostname 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 配置客户端系统以可靠远程记录：

   1. 在客户端系统上，在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，例如 relpclient.conf，并插入以下内容：

      module(load="omrelp")
      *.* action(type="omrelp" target="_target_IP_" port="_target_port_")

      其中：

      • target_IP 是日志记录服务器的 IP 地址。
      • target_port 是日志记录服务器的端口。
   2. 保存对 /etc/rsyslog.d/relpclient.conf 文件的更改。

   3. 重新启动 rsyslog 服务。

      # systemctl restart rsyslog

   4. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

2. 配置服务器系统以可靠远程记录：

   1. 在服务器系统中，在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，例如 reserv.conf，并插入以下内容：

      ruleset(name="relp"){
      *.* action(type="omfile" file="_log_path_")
      }
      
      
      module(load="imrelp")
      input(type="imrelp" port="_target_port_" ruleset="relp")

      其中：

      • log_path 指定存储消息的路径。
      • target_port 是日志记录服务器的端口。使用与客户端配置文件中相同的值。
   2. 保存对 /etc/rsyslog.d/relpserv.conf 文件的更改。

   3. 重新启动 rsyslog 服务。

      # systemctl restart rsyslog

   4. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统中，查看指定 log_path 的日志，例如：

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   其中 hostname 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 安装 netconsole-service 软件包：

   # dnf install netconsole-service

2. 编辑 /etc/sysconfig/netconsole 文件，并将 SYSLOGADDR 参数设为远程主机的 IP 地址：

   # SYSLOGADDR=192.0.2.1

3. 启用并启动 netconsole 服务：

   # systemctl enable --now netconsole

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploy the logging solution
     hosts: managed-node-01.example.com
     tasks:
       - name: Filter logs based on a specific value they contain
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.logging
         vars:
           logging_inputs:
             - name: files_input
               type: basics
           logging_outputs:
             - name: files_output0
               type: files
               property: msg
               property_op: contains
               property_value: error
               path: /var/log/errors.log
             - name: files_output1
               type: files
               property: msg
               property_op: "!contains"
               property_value: error
               path: /var/log/others.log
           logging_flows:
             - name: flow0
               inputs: [files_input]
               outputs: [files_output0, files_output1]

   示例 playbook 中指定的设置包括如下：

   logging_inputs

   定义一个记录输入字典的列表。type: basics 选项涵盖了来自 systemd 日志或 Unix 套接字的输入。

   logging_outputs

   定义一个记录输出字典的列表。type: files 选项支持将日志存储在本地文件中，通常存储在 /var/log/ 目录中。property: msg; property: contains 和 property_value: error 选项指定所有包含 error 字符串的日志都存储在 /var/log/errors.log 文件中。property: msg; property: !contains; 和 property_value: error 选项指定所有其他日志都放在 /var/log/others.log 文件中。您可以将 error 值替换为您要过滤的字符串。

   logging_flows

   定义一个记录流字典的列表，以指定 logging_inputs 和 logging_outputs 之间的关系。inputs: [files_input] 选项指定一个从其开始处理日志的输入的列表。outputs: [files_output0, files_output1] 选项指定一个日志发送到的输出的列表。

   有关 playbook 中使用的所有变量的详情，以及 rsyslog 的更多信息，请参阅控制节点上的 /usr/share/ansible/roles/rhel-system-roles.logging/README.md 文件和 rsyslog.conf (5) 及 syslog (3) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 在受管节点上，测试 /etc/rsyslog.conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

2. 在受管节点上，验证系统是否向日志发送包含 error 字符串的消息：

   1. 发送测试信息：

      # logger error

   2. 查看 /var/log/errors.log 日志，例如：

      # cat /var/log/errors.log
      Aug  5 13:48:31 hostname root[6778]: error

      其中 hostname 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploy the logging solution
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure the server to receive remote input
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.logging
         vars:
           logging_inputs:
             - name: remote_udp_input
               type: remote
               udp_ports: [ 601 ]
             - name: remote_tcp_input
               type: remote
               tcp_ports: [ 601 ]
           logging_outputs:
             - name: remote_files_output
               type: remote_files
           logging_flows:
             - name: flow_0
               inputs: [remote_udp_input, remote_tcp_input]
               outputs: [remote_files_output]
   
   - name: Deploy the logging solution
     hosts: managed-node-02.example.com
     tasks:
       - name: Configure the server to output the logs to local files in directories named by remote host names
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.logging
         vars:
           logging_inputs:
             - name: basic_input
               type: basics
           logging_outputs:
             - name: forward_output0
               type: forwards
               severity: info
               target: <host1.example.com>
               udp_port: 601
             - name: forward_output1
               type: forwards
               facility: mail
               target: <host1.example.com>
               tcp_port: 601
           logging_flows:
             - name: flows0
               inputs: [basic_input]
               outputs: [forward_output0, forward_output1]

   示例 playbook 的第一个 play 中指定的设置包括以下：

   logging_inputs

   定义一个记录输入字典的列表。type: remote 选项涵盖通过网络来自其他日志记录系统的远程输入。udp_ports: [ 601 ] 选项定义要监控的 UDP 端口号的列表。tcp_ports: [ 601 ] 选项定义要监控的 TCP 端口号的列表。如果 udp_ports 和 tcp_ports 都设置了，则 udp_ports 被使用，tcp_ports 被丢弃。

   logging_outputs

   定义一个记录输出字典的列表。type: remote_files 选项使输出将日志存储到每个远程主机的本地文件和程序名称产生的日志中。

   logging_flows

   定义一个记录流字典的列表，以指定 logging_inputs 和 logging_outputs 之间的关系。inputs: [remote_udp_input, remote_tcp_input] 选项指定输入的列表，日志的处理从该列表开始。outputs: [remote_files_output] 选项指定输出的列表，日志被发送到此输出中。

   示例 playbook 的第二个 play 中指定的设置包括以下：

   logging_inputs

   定义一个记录输入字典的列表。type: basics 选项涵盖了来自 systemd 日志或 Unix 套接字的输入。

   logging_outputs

   定义一个记录输出字典的列表。type: forwards 选项支持通过网络将日志发送到远程日志服务器。severity: info 选项是指具有信息重要性的日志消息。facility: mail 选项是指正在生成日志消息的系统程序的类型。target: <host1.example.com> 选项指定远程日志记录服务器的主机名。udp_port: 601/tcp_port: 601 选项定义远程日志记录服务器侦听的 UDP/TCP 端口。

   logging_flows

   定义一个记录流字典的列表，以指定 logging_inputs 和 logging_outputs 之间的关系。inputs: [basic_input] 选项指定输入的列表，日志的处理从该列表开始。outputs: [forward_output0, forward_output1] 选项指定输出的列表，日志被发送到此输出中。

   有关角色变量的详情和有关 rsyslog 的更多信息，请参阅控制节点上的 /usr/share/ansible/roles/rhel-system-roles.logging/README.md 文件以及 rsyslog.conf (5) 和 syslog (3) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 在客户端和服务器系统上测试 /etc/rsyslog.conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run (level 1), master config /etc/rsyslog.conf
   rsyslogd: End of config validation run. Bye.

2. 验证客户端系统向服务器发送信息：

   1. 在客户端系统中发送测试信息：

      # logger test

   2. 在服务器系统上，查看 /var/log/<host2.example.com>/messages 日志，例如：

      # cat /var/log/<host2.example.com>/messages
      Aug  5 13:48:31 <host2.example.com> root[6778]: test

      其中 <host2.example.com> 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

文件系统规则示例

1. 要定义一条规则，记录对 /etc/passwd 文件的所有写访问和每个属性的修改：

   # auditctl -w /etc/passwd -p wa -k passwd_changes

2. 要定义一条规则，记录对 /etc/selinux/ 目录中所有文件的写访问和每个属性的修改：

   # auditctl -w /etc/selinux/ -p wa -k selinux_changes

系统调用规则示例

1. 要定义一条规则，当程序每次使用 adjtimex 或 settimeofday 系统调用时就创建一条日志，系统使用 64 位构架：

   # auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time_change

2. 定义一条规则，在 ID 为 1000 或以上的系统用户每次删除或重命名文件时创建一条日志：

   # auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete

   请注意，-F auid!=4294967295 选项用于排除未设置登录 UID 的用户。

流程

1. 将 /usr/lib/systemd/system/auditd.service 文件复制到 /etc/systemd/system/ 目录中：

   # cp -f /usr/lib/systemd/system/auditd.service /etc/systemd/system/

2. 在您选择的文本编辑器中编辑 /etc/systemd/system/auditd.service 文件，例如：

   # vi /etc/systemd/system/auditd.service

3. 注释掉包含 augenrules 的行，将包含 auditctl -R 命令的行取消注释：

   #ExecStartPost=-/sbin/augenrules --load
   ExecStartPost=-/sbin/auditctl -R /etc/audit/audit.rules

4. 重新载入 systemd 守护进程以获取 auditd.service 文件中的修改：

   # systemctl daemon-reload

5. 重启 auditd 服务：

   # service auditd restart

流程

1. 将预先配置的规则文件 44-installers.rules 从 /usr/share/audit/sample-rules/ 目录复制到 /etc/audit/rules.d/ 目录中：

   # cp /usr/share/audit/sample-rules/44-installers.rules /etc/audit/rules.d/

2. 加载审计规则：

   # augenrules --load

验证

1. 列出载入的规则：

   # auditctl -l
   -p x-w /usr/bin/dnf-3 -k software-installer
   -p x-w /usr/bin/yum -k software-installer
   -p x-w /usr/bin/pip -k software-installer
   -p x-w /usr/bin/npm -k software-installer
   -p x-w /usr/bin/cpan -k software-installer
   -p x-w /usr/bin/gem -k software-installer
   -p x-w /usr/bin/luarocks -k software-installer

2. 执行安装，例如：

   # dnf reinstall -y vim-enhanced

3. 在审计日志中搜索最近的安装事件，例如：

   # ausearch -ts recent -k software-installer
   ––––
   time->Thu Dec 16 10:33:46 2021
   type=PROCTITLE msg=audit(1639668826.074:298): proctitle=2F7573722F6C6962657865632F706C6174666F726D2D707974686F6E002F7573722F62696E2F646E66007265696E7374616C6C002D790076696D2D656E68616E636564
   type=PATH msg=audit(1639668826.074:298): item=2 name="/lib64/ld-linux-x86-64.so.2" inode=10092 dev=fd:01 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:ld_so_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
   type=PATH msg=audit(1639668826.074:298): item=1 name="/usr/libexec/platform-python" inode=4618433 dev=fd:01 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:bin_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
   type=PATH msg=audit(1639668826.074:298): item=0 name="/usr/bin/dnf" inode=6886099 dev=fd:01 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:rpm_exec_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
   type=CWD msg=audit(1639668826.074:298): cwd="/root"
   type=EXECVE msg=audit(1639668826.074:298): argc=5 a0="/usr/libexec/platform-python" a1="/usr/bin/dnf" a2="reinstall" a3="-y" a4="vim-enhanced"
   type=SYSCALL msg=audit(1639668826.074:298): arch=c000003e syscall=59 success=yes exit=0 a0=55c437f22b20 a1=55c437f2c9d0 a2=55c437f2aeb0 a3=8 items=3 ppid=5256 pid=5375 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=3 comm="dnf" exe="/usr/libexec/platform-python3.6" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="software-installer"