第 17 章 · 审计日志与治理页
适用对象:平台管理员 · 阅读约 6 分钟 · 对应版本 管理控制台 0.1.0
- 查「谁在什么时候对什么做了什么」,并按租户、结果、时间范围收窄。
- 用结构化搜索精确定位一条事件,读懂它的详情。
- 把查询结果导出留档。
- 在管理控制台里快速看一眼治理态势,必要时跳进完整治理台。
审计日志
左侧导航「安全与访问 → 审计日志」。
审计日志页的筛选区。
四种收窄方式
| 方式 | 怎么用 |
|---|---|
| 三个下拉 | 租户(可选「全部租户」)、结果(全部 / 成功 / 失败 / 已阻断 / 未知)、时间范围(过去 24 小时 / 7 天 / 30 天 / 自定义)。 |
| 常用视图 | 四个一键筛选:登录失败、外部下载、已阻断、管理员变更。日常巡检从这四个开始最省事。 |
| 分类标签 | 全部 / 身份 / 文件 / 共享 / 管理 / 安全 / 审计,按事件类别切换。 |
| 结构化搜索 | 在搜索框里按「字段:值」写,页面上给了例子:actor:admin、action:file.download、ip:203.0.113.24、target:fil_84ca21。 |
筛选区下面会实时显示:当前的租户隔离范围、查询 ID 和耗时。改乱了就点右侧的「清除全部筛选」。
页面上写着「tenant_id 由服务端强制分区」。也就是说,换租户这件事不是前端过滤一下,而是服务端按租户切开的,你看不到自己无权查看的租户的事件。
读一条事件
点事件列表里的任意一行,右侧展开详情。
一条审计事件的详情。
| 字段 | 意思 |
|---|---|
| 发生了什么 | 操作者(谁)、对象(对什么)、结果说明、原因代码。 |
| 租户与来源 | 属于哪个租户、数据区、来源 IP、客户端类型、会话、精确时间(UTC)。 |
来源 IP 是脱敏的:详情里写着「服务端按权限脱敏」,显示成 10.244.2.x 这种形式,不给出完整地址。这是设计如此。
列表下方写着本批多少条、每批多少条、按什么排序(发生时间倒序),用「上一批 / 下一批」翻页。
导出
右上角的「导出」把当前筛选条件下的结果导出留档。做合规检查、事故复盘时,先把筛选调准再导。
治理页:管理控制台里的治理摘要
左侧导航「平台 → 治理」。它把租户的治理态势实时聚合到一屏,内容与第 12 章治理控制台的概览页一致:反勒索防护、内容巡检、PDPA / GDPR 合规评分等。
管理控制台里的治理摘要。要做具体操作,点右上角「打开完整治理台」。
这一页只看不改:要处理待审批、改元数据、设合规保全,点右上角的「打开完整治理台」跳到治理控制台,操作见第 12、13 章。
日常巡检建议
| 频率 | 看什么 |
|---|---|
| 每天 | 审计日志的「登录失败」和「已阻断」两个常用视图;治理页的「已拦威胁」和「批量加密告警」。 |
| 每周 | 「外部下载」和「管理员变更」两个视图,确认没有异常的外发和越权改动。 |
| 每月 | PDPA / GDPR 合规评分里的「待核」条目,逐条处理掉。 |
常见问题
| 现象 | 怎么办 |
|---|---|
| 查不到某个已知发生过的操作 | 先放宽时间范围(默认可能是过去 7 天),再把租户改成「全部租户」,最后点「清除全部筛选」从头来。 |
| 来源 IP 看不全 | 这是按权限脱敏的,不是故障。需要完整 IP 做安全调查时,走正式流程找平台运维。 |
| 事件列表是空的 | 确认租户选对了——审计按租户强制分区,选错租户自然什么都没有。 |
| 治理页的数字和治理控制台对不上 | 两边各自有更新时间,点「刷新」后再比。持续对不上就报障。 |