配置 EMC Isilon 审计

本节概述了在 EMC Isilon 节点中配置审计设置的步骤，以及将事件数据转发到 ADAudit Plus。配置所需设置的命令因 OneFS 版本而异，但它们都涉及三个步骤：

步骤 1：启用协议审计并配置审计设置

这些命令在目标区域启用协议审计，并配置所需访问事件的审计。

步骤 2：启用 syslog 转发

ADAudit Plus 需要 syslog 数据来报表您 EMC Isilon 存储环境中的文件活动。这些命令启用从您的 Isilon 节点转发 syslog。

步骤 3：配置 ADAudit Plus 服务器的 IP 地址

将 ADAudit Plus 服务器的 IP 地址添加到 syslog 数据应转发到的实体列表中。

根据您的 OneFS 版本，遵循所列步骤配置 EMC Isilon 审计。

对于 OneFS 版本 7.x：

1. 执行这些命令以启用协议审计并配置审计设置：
   • isi audit settings modify --protocol-auditing-enabled yes --audited-zones <zone_names>
   • isi zone zones modify <zone_name> --audit-success create,delete,read,rename,set_security,write
   • isi zone zones modify <zone_name> --audit-failure create,delete,read,rename,set_security,write
   • isi zone zones modify <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write
2. 要启用 syslog 转发，请执行以下命令：
   • isi zone zones modify <zone_name> --syslog-forwarding-enabled=yes
3. 要配置 ADAudit Plus 服务器的 IP 地址，请按照以下步骤操作：
   • 使用 SSH 客户端连接到任一 Isilon 节点。
   • 打开 syslog.conf 文件，该文件位于 /etc/mcp/templates 目录中。
   • 找到 !audit_protocol 行并添加以下条目，在 hostname 或 IP 地址的位置提供正确的值：
     *.* @<hostname/IP Address of the ADAuditPlus server>
   • 保存 syslog.conf 文件。

对于 OneFS 版本 8.0 和 8.1：

1. 执行这些命令以启用协议审计并配置审计设置：
   • isi audit settings global modify --protocol-auditing-enabled yes --audited-zones <zone_names>
   • isi audit settings modify --zone <zone_name> --audit-success create,delete,read,rename,set_security,write
   • isi audit settings modify --zone <zone_name> --audit-failure create,delete,read,rename,set_security,write
   • isi audit settings modify --zone <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write
2. 要启用 syslog 转发，请执行以下命令：
   • isi audit settings modify --syslog-forwarding-enabled=yes --zone=<zone_name>
3. 要配置 ADAudit Plus 服务器的 IP 地址，请按照以下步骤操作：
   • 使用 SSH 客户端连接到任一 Isilon 节点。
   • 打开 syslog.conf 文件，该文件位于 /etc/mcp/templates 目录中。
   • 找到 !audit_protocol 行并添加以下条目，在 hostname 或 IP 地址的位置提供正确的值：
     *.* @<hostname/IP Address of the ADAuditPlus server>