监控 Amazon OpenSearch Service 中的审计日志

如果您的 Amazon OpenSearch Service 域使用精细访问控制，则您可以为您的数据启用审计日志。审计日志是高度可定制的，允许您跟踪 OpenSearch 集群上的用户活动，包括身份验证成功和失败、对 OpenSearch 的请求、索引更改以及传入的搜索查询。默认配置会跟踪一组常用的用户操作，但建议根据您的具体需求定制设置。

就像 OpenSearch 应用程序日志和慢速日志，OpenSearch Service 将审计日志发布到 CloudWatch Logs。如果启用，则应用标准 CloudWatch 定价。

限制

审计日志具有以下限制：

启用审计日志

启用审结日志是一个两步流程。首先，您需要配置您的域，以便将审计日志发布到 CloudWatch Logs。然后，您需要在 OpenSearch 控制面板中启用审计日志，并配置它们以满足您的需求。

步骤 1：启用审计日志并配置访问策略

这些步骤将介绍如何使用控制台启用审计日志。您也可以使用 AWS CLI 或 OpenSearch Service API 启用它们。

步骤 2：在 OpenSearch 控制面板中打开审计日志记录

在 OpenSearch Service 控制台中启用审计日志之后，您还必须在 OpenSearch 控制面板中启用它们，并对其进行配置以满足您的需求。

控制面板 UI 提供完全控制常规设置和合规性设置。有关所有配置选项的描述，请参阅审计日志设置。

使用 AWS CLI 启用审计日志记录

以下 AWS CLI 命令在现有域上启用审计日志：

aws opensearch update-domain-config --domain-name my-domain --log-publishing-options "AUDIT_LOGS={CloudWatchLogsLogGroupArn=arn:aws:logs:us-east-1:123456789012:log-group:my-log-group,Enabled=true}"

您还可以在创建域时启用审计日志。有关详细信息，请参阅 AWS CLI 命令参考。

使用配置 API 启用审计日志记录

对配置 API 的以下请求将启用现有域上的审计日志：

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "LogPublishingOptions": {
    "AUDIT_LOGS": {
      "CloudWatchLogsLogGroupArn":"arn:aws:logs:us-east-1:123456789012:log-group1:sample-domain",
      "Enabled":true
    }
  }
}

有关更多信息，请参阅 Amazon OpenSearch Service API reference（《Amazon OpenSearch Service API 参考》）。

审计日志图层和类别

集群通信发生在两个单独的层：REST 层和传输层。

您可以启用或禁用整个图层的审计日志以及图层的各个审计类别。下表包含审计类别及其可用图层的汇总。

除了这些标准类别之外，精细的访问控制还提供了几个额外的类别，旨在满足数据合规性要求。

您可以使用任何类别和消息属性组合。例如，如果您发送 REST 请求为文档编制索引，您可能会在审计日志中看到以下行：

审计日志设置

审计日志有许多配置选项。

常规设置

常规设置允许您启用或禁用单个类别或整个图层。强烈建议将授予的权限和身份验证保留为排除的类别。否则，对集群的每个有效请求都会记录这些类别。

属性设置允许您自定义每个日志行中的详细信息量。

使用忽略设置排除一组用户或 API 路径：

合规性设置

合规性设置允许您优化索引、文档或字段级别的访问权限。

您可以为读取和写入事件日志记录指定以下设置。

您可以为读取事件指定以下设置。

{
  "index-name-pattern": [
    "field-name-pattern"
  ],
  "logs*": [
    "message"
  ],
  "twitter": [
    "id",
    "user*"
  ]
}

您可以为写入事件指定以下设置。

审计日志示例

本节包括一个示例配置、搜索请求以及索引的所有读取和写入事件的结果审计日志。

步骤 1：配置审计日志

启用审计日志发布到 CloudWatch Logs 组后，导航到 OpenSearch 控制面板审计日志记录页面，然后选择启用审计日志记录。

步骤 2：执行读取和写入事件

步骤 3：观察日志

要包含请求正文，请返回合规性设置，然后禁用写入元数据。要排除某个具体用户的事件，请将该用户添加到忽略的用户。

有关每个审计日志字段的描述，请参阅审计日志字段参考。有关搜索和分析审计日志数据的信息，请参阅 Amazon CloudWatch Logs 用户指南中的使用 CloudWatch Logs Insights 分析日志数据。

使用 REST API 配置审计日志

建议使用 OpenSearch 仪表板配置审计日志，但也可以使用精细访问控制 REST API。本节包含一个示例请求。有关 REST API 的完整文档位于 OpenSearch 文档中。

PUT _opendistro/_security/api/audit/config
{
  "enabled": true,
  "audit": {
    "enable_rest": true,
    "disabled_rest_categories": [
      "GRANTED_PRIVILEGES",
      "AUTHENTICATED"
    ],
    "enable_transport": true,
    "disabled_transport_categories": [
      "GRANTED_PRIVILEGES",
      "AUTHENTICATED"
    ],
    "resolve_bulk_requests": true,
    "log_request_body": true,
    "resolve_indices": true,
    "exclude_sensitive_headers": true,
    "ignore_users": [
      "kibanaserver"
    ],
    "ignore_requests": [
      "SearchRequest",
      "indices:data/read/*",
      "/_cluster/health"
    ]
  },
  "compliance": {
    "enabled": true,
    "internal_config": true,
    "external_config": false,
    "read_metadata_only": true,
    "read_watched_fields": {
      "read-index-1": [
        "field-1",
        "field-2"
      ],
      "read-index-2": [
        "field-3"
      ]
    },
    "read_ignore_users": [
      "read-ignore-1"
    ],
    "write_metadata_only": true,
    "write_log_diffs": false,
    "write_watched_indices": [
      "write-index-1",
      "write-index-2",
      "log-*",
      "*"
    ],
    "write_ignore_users": [
      "write-ignore-1"
    ]
  }
}