文档中心

云搜索服务

数据面审计

配置审计日志采集参数

配置审计日志采集参数

启用数据面审计后，您可以选择在 Kibana/Dashboards 页面配置审计日志采集参数。日志采集参数有默认值，支持您按需修改采集参数。

日志参数配置入口

通过公网地址登录 Kibana/Dashboards 页面。相关文档，请参见登录 Kibana/Dashboards。

在 Kibana 菜单栏选择 Security > Audit logs。

按需配置日志采集参数。

日志采集参数说明

配置分类	参数名	描述
审计日志	Storage location	审计输出位置，固定值为 internal_elasticsearch。
审计日志		Enable audit logging	审计总开关，效果与 ES 实例详情中的数据面审计开关相同。 Enabled Disabled 说明请勿手动调整审计日志的总开关，以免产生参数设置与控制台不一致的情况。
层次配置	REST layer	采集 HTTP 请求的开关。 Enabled Disabled
		REST disabled categories	采集过程中忽略的 HTTP 事件类型列表，为空时表示全量采集。事件类型详情，请参见本文中的事件类型表。
		Transport layer	采集 RPC 请求的开关。 Enabled Disabled
		Transport disabled categories	采集过程中忽略的 RPC 事件类型列表，为空时表示全量采集。事件类型详情，请参见本文中的事件类型表。
属性配置	Bulk requests	展开批量写入（_bulk）请求的开关，打开时会为写入的每条文档记录一条审计日志，建议关闭。 Enabled Disabled
		Request body	记录请求体的开关。 Enabled Disabled
		Resolve indices	从请求中提取索引名的开关，当且仅当打开 RPC 采集时生效。 Enabled Disabled
		Sensitive headers	是否过滤敏感 header 的开关，建议打开。 Enabled Disabled
忽略列表	Ignored users	忽略采集的账号列表，允许使用通配符。当访问者账号命中该列表时，忽略其造成的审计日志。经典用法：忽略系统管理员bytees_,admin,kibanaserver。
忽略列表		Ignored requests	忽略采集的请求列表，允许使用通配。当访问请求类型或action路径命中该列表时，跳过输出审计。经典用法：忽略查询请求SearchRequest,MultiSearchRequest,indices:data/read/。

事件类型

事件分类	事件	埋点层次	描述
失败	FAILED_LOGIN	REST、Transport	身份认证失败，大概率是用户不存在或密码错误。
失败		MISSING_PRIVILEGES	Transport	访问者没有执行请求的权限。
异常	SSL_EXCEPTION	REST、Transport	当前访问没有可信的 SSL 或 TLS 证书。
		OPENDISTRO_SECURITY_INDEX_ATTEMPT	Transport	越权请求，非 admin 或未授权用户尝试修改安全插件内部用户或权限索引。
		BAD_HEADERS	REST、Transport	危险请求，尝试覆盖安全插件内部 header。
成功	AUTHENTICATED	REST、Transport	权限认证成功。
成功		GRANTED_PRIVILEGES	Transport	请求执行成功。
标签	INDEX_EVENT	Transport	索引管理事件：indices:admin/*。

最近更新时间：2026.03.30 15:03:42

这个页面对您有帮助吗？

有用

有用

无用

无用