稽核檔案存取

READ

OPEN

CLOSE

READDIR

WRITE

SETATTR

CREATE

連結

OPENATTR

移除

GETATTR

驗證

NVERIFY

RENAME

NFS 稽核支援指定為類型 的稽核存取控制項目 (ACEs)u，當物件上嘗試存取時，會產生稽核日誌項目。對於 NFS 稽核，模式位元和稽核 ACEs 之間沒有映射。將 ACLs 轉換為模式位元時，會略過稽核 ACEs。將模式位元轉換為 ACLs 時，不會產生稽核 ACEs。

稽核取決於預備磁碟區中有可用的空間。（預備磁碟區是由 ONTAP 建立的專用磁碟區，用於存放預備檔案，這些檔案是個別節點上的中繼二進位檔案，稽核記錄會在轉換為 EVTX 或 XML 檔案格式之前存放。) 您必須確保在包含稽核磁碟區的彙總中，預備磁碟區有足夠的空間。

稽核取決於磁碟區中有可用的空間，其中包含存放轉換後稽核事件日誌的目錄。您必須確保用於存放事件日誌的磁碟區中有足夠的空間。您可以在建立稽核組態時使用 -rotate-limit 參數，指定要在稽核目錄中保留的稽核日誌數目，這有助於確保磁碟區中有足夠的可用空間可供稽核日誌使用。

若要根據日誌大小輪換稽核日誌，請使用下列命令：

vserver audit create -vserver svm_name -destination path [-format {xml|evtx}] [-rotate-limit integer] [-rotate-size {integer[KB|MB|GB|TB|PB]}]

下列範例會為名為 的 SVM 建立稽核組態svm1，以使用以大小為基礎的輪換來稽核檔案操作和 CIFS (SMB) 登入和登出事件 （預設）。日誌格式為 EVTX（預設值），日誌會存放在 /audit_log目錄中，而且您一次會有一個日誌檔案 （大小上限為 200MB)。

vserver audit create -vserver svm1 -destination /audit_log -rotate-size 200MB

若要根據排程輪換稽核日誌，請使用下列命令：

vserver audit create -vserver svm_name -destination path [-format {xml|evtx}]
        [-rotate-limit integer] [-rotate-schedule-month chron_month]
        [-rotate-schedule-dayofweek chron_dayofweek] [-rotate-schedule-day chron_dayofmonth]
        [-rotate-schedule-hour chron_hour] [-rotate-schedule-minute chron_minute]

如果您要設定以時間為基礎的稽核日誌輪換，則需要 -rotate-schedule-minute 參數。

下列範例svm2會使用以時間為基礎的輪換，為名為 的 SVM 建立稽核組態。日誌格式為 EVTX（預設值），稽核日誌會在一週內每天的中午 12：30 輪換。

vserver audit create -vserver svm2 -destination /audit_log -rotate-size 200MB  -rotate-schedule-month all -rotate-schedule-dayofweek all -rotate-schedule-hour 12 -rotate-schedule-minute 30

EVTX 檔案格式 – 您可以使用 Microsoft Event Viewer 將轉換後的EVTX稽核事件日誌開啟為已儲存的檔案。

使用事件檢視器檢視事件日誌時，您可以使用兩個選項：

XML 檔案格式 – 您可以在支援 XML 檔案格式的第三方應用程式上檢視和處理 XML 稽核事件日誌。只要您有 XML 結構描述和 XML 欄位定義的相關資訊，就可以使用 XML 檢視工具來檢視稽核日誌。