配置 EMC Isilon 审计

本节概述在 EMC Isilon 节点中配置审计设置并将事件数据转发至 ADAudit Plus 的步骤。配置所需设置的命令因 OneFS 版本而异，但均包含以下三步：

第一步：启用协议审计并配置审计设置

这些命令启用目标区域的协议审计，并配置所需访问事件的审计。

第二步：启用 syslog 转发

ADAudit Plus 需要 syslog 数据以报告您 EMC Isilon 存储环境中的文件活动。这些命令启用来自 Isilon 节点的 syslog 转发。

第三步：配置 ADAudit Plus 服务器的 IP 地址

将 ADAudit Plus 服务器的 IP 地址添加到应转发 syslog 数据的实体列表中。

按照您所使用的 OneFS 版本下列出的步骤配置 EMC Isilon 审计。

对于 OneFS 版本 7.x：

1. 执行以下命令以启用协议审计并配置审计设置：
   • isi audit settings modify --protocol-auditing-enabled yes --audited-zones <zone_names>
   • isi zone zones modify <zone_name> --audit-success create,delete,read,rename,set_security,write
   • isi zone zones modify <zone_name> --audit-failure create,delete,read,rename,set_security,write
   • isi zone zones modify <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write
2. 要启用 syslog 转发，执行以下命令：
   • isi zone zones modify <zone_name> --syslog-forwarding-enabled=yes
3. 要配置 ADAudit Plus 服务器的 IP 地址，请执行以下步骤：
   • 使用 SSH 客户端连接到任何一个 Isilon 节点。
   • 打开 syslog.conf 文件，该文件位于 /etc/mcp/templates 目录下。
   • 找到 !audit_protocol 行并添加以下条目，将 hostname 或 IP 地址替换为正确的值：
     *.* @<ADAuditPlus 服务器的主机名/IP 地址>
   • 保存 syslog.conf 文件。

对于 OneFS 版本 8.0 和 8.1：

1. 执行以下命令以启用协议审计并配置审计设置：
   • isi audit settings global modify --protocol-auditing-enabled yes --audited-zones <zone_names>
   • isi audit settings modify --zone <zone_name> --audit-success create,delete,read,rename,set_security,write
   • isi audit settings modify --zone <zone_name> --audit-failure create,delete,read,rename,set_security,write
   • isi audit settings modify --zone <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write
2. 要启用 syslog 转发，执行以下命令：
   • isi audit settings modify --syslog-forwarding-enabled=yes --zone=<zone_name>
3. 要配置 ADAudit Plus 服务器的 IP 地址，请执行以下步骤：
   • 使用 SSH 客户端连接到任何一个 Isilon 节点。
   • 打开 syslog.conf 文件，该文件位于 /etc/mcp/templates 目录下。
   • 找到 !audit_protocol 行并添加以下条目，将 hostname 或 IP 地址替换为正确的值：
     *.* @<ADAuditPlus 服务器的主机名/IP 地址>
   • 保存 syslog.conf 文件。

对于 OneFS 版本 8.2 和 9.4：

1. 要启用协议审计、配置审计设置并配置 ADAudit Plus 服务器的 IP 地址，请执行以下命令：
   • isi audit settings global modify --protocol-auditing-enabled yes --audited-zones <zone_name> --protocol-syslog-servers <ADAuditPlus 服务器的 IP>
   • isi audit settings modify --zone <zone_name> --audit-success create,delete,read,rename,set_security,write
   • isi audit settings modify --zone <zone_name> --audit-failure create,delete,read,rename,set_security,write
   • isi audit settings modify --zone <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write
2. 要启用 syslog 转发，执行以下命令：
   • isi audit settings modify --syslog-forwarding-enabled yes --zone <zone_name>