如何在 ownCloud 企業版中啟用活動日誌審計

啟用 ownCloud 的文件活動來源本身並不會建立管理員審計追蹤。對於 ownCloud Server 企業版，相關的元件是僅限企業版使用的稽核應用程式。它會在伺服器日誌系統中記錄更廣泛的使用者和管理員操作，您可以將這些記錄路由到專用文件，並在需要時路由到日誌分析平台。

本指南遵循 ownCloud Server 11.0 版本文件中記錄的經典部署方式。選單標籤和配置方法可能會因版本和打包方式而異。 ownCloud Infinite Scale (oCIS) 使用獨立的稽核服務，因此請勿將這些 Server 說明應用於 oCIS 部署。

ownCloud審計記錄哪些內容？

審計應用程式可以記錄使用者登入和登出、檔案建立、刪除和移動、回收站和版本控制操作、共享和權限變更、群組和使用者管理、評論、標籤、使用者設定變更、應用啟用或停用、模擬登入以及 OCC 命令執行等事件。條目包含時間、使用者、請求詳情、遠端位址、應用程式、訊息和唯一操作名稱等常用欄位。具體的事件欄位因操作而異。

審計功能與「活動」應用不同。「活動」應用程式面向用戶，顯示檔案和資料夾事件流。「審計」應用則用於管理審查、合規性工作流程以及安全相關事件分析。當您需要伺服器端記錄時，請啟用「企業稽核」應用程式；當使用者需要便利的內容變更資訊流時，請使用「活動」應用程式。

啟用審計功能之前

確認部署的是 ownCloud Server Enterprise，並且審計應用程式已可供該實例使用。
請使用 ownCloud 管理員帳戶啟用該應用程式。系統管理員可能還需要 shell 或容器存取權限來設定日誌記錄配置。
選擇一個具有足夠磁碟空間的專用日誌目標位置。確認 Web 伺服器或容器可以寫入該位置，並決定哪些使用者可以讀取該位置的日誌。
在啟用高容量稽核流程之前，請設定保留和輪調策略。稽核記錄可以包括使用者 ID、IP 位址、檔案路徑、客戶端詳細資訊和共享元資料。

步驟 1：啟用稽核應用程式

以 ownCloud 管理員身份登錄，並在管理介面中開啟「應用」區域。找到“審計”應用程式並啟用它。如果找不到應用，請檢查您的企業版授權、伺服器版本以及 ownCloud 應用程式市場或供應商支援管道，尋找相容的應用程式包。請勿使用標準的“活動”應用作為替代方案。

ownCloud 管理應用程式頁面範例顯示了已啟用的稽核應用程式。 — 應用範例檢視：稽核行已啟用，這是啟用企業稽核應用的第一步。

步驟 2：將審計訊息路由到專用文件

ownCloud 建議將稽核訊息與常規伺服器日誌分開。使用專用文件可以更輕鬆地設定審計資料的權限、保留期限和收集規則。目前的 Server 11.0 文件提供了一個容器環境變數範例。請將目標路徑調整為部署中存在且 ownCloud 服務可寫入的路徑：

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

此條件會將admin_audit應用程式的訊息導向指定的檔案。在文件範例中，將稽核訊息路由到單獨的文件會繞過全域日誌等級過濾器，並記錄所有層級的訊息。所示路徑與 Docker 掛載的資料卷相關聯；這只是一個範例，並非通用路徑。請使用部署的配置方法持久化環境更改，並僅在容器編排流程需要時重新啟動或重新建立服務。

對於透過config.phpownCloud 配置的安裝，其應用程式配置參考文件也記錄了該log.conditions金鑰。請將路徑調整為主機實際的資料目錄，並保留現有的配置條目，而不是替換整個陣列：

'log.conditions' => [
  [
    'apps' => ['admin_audit'],
    'logfile' => '/var/www/owncloud/data/admin_audit.log'
  ],
],

如果將稽核輸出保留在普通的 ownCloud 日誌中，而不是單獨路由，ownCloud 的稽核指南指出，伺服器日誌等級必須設定為1(INFO) 或0(DEBUG)，否則稽核訊息可能無法寫入。使用單獨的檔案可以避免依賴全域日誌級別，但並不能消除監控可用磁碟空間的必要性。

容器環境設定範例將 admin_audit 訊息路由到 /mnt/data/files/admin_audit.log。 — OWNCLOUD_LOG_CONDITIONS 設定的設定範例檢視；請使用您自己的部署中有效且可寫入的路徑。

步驟 3：驗證真實事件是否到達文件

啟用套用並套用日誌配置後，產生一個策略允許的受控事件－例如，在指定的測試帳戶中建立或刪除一個臨時測試檔。然後檢查伺服器上配置的審計日誌。典型的日誌條目是結構化數據，而不是面向人類的活動時間軸。尋找事件時間、參與者、應用程式、操作和相關詳細資訊。文件操作可能還包含路徑、擁有者或文件識別碼；其他事件類型有各自的欄位。

檢查配置變更後是否出現了新產生的操作，其時間戳記是否符合伺服器的時區，以及操作和使用者是否與測試相符。避免使用敏感的生產文件測試刪除日誌記錄。如果沒有任何顯示，請確認審計應用程式已啟用，日誌目標位置正確且可寫，環境變數或 PHP 配置已實際加載，使用預設日誌時伺服器日誌等級是否足夠，以及操作類型是否在您已安裝的稽核應用程式版本記錄的類型範圍內。

admin_audit.log 檔案範例顯示了 remoteAddr、user、time、app 和 action 的結構化欄位。 — 審計記錄結構範例。 ownCloud 文件包含常用字段，例如時間、使用者、應用程式、遠端位址和操作標識符；特定於事件的字段則有所不同。

第四步：保護、保留和審查稽核文件

審計日誌記錄僅在記錄可用且存取權限受到控制時才有用。限制檔案和目錄權限，僅允許需要存取權限的作業系統帳戶和稽核角色存取。規劃日誌輪替或收集，以避免繁忙實例的儲存空間被佔滿。根據您的內部策略和法律義務決定記錄的保留期限；ownCloud 並未為每個組織設定統一的保留期限。

為了更好地劃分職責，應盡可能將審計文件放在常規 Web 可存取文件區域之外，並明確哪些系統管理員和審計人員可以讀取或管理該文件。 ownCloud 文件中定義了審計員角色，並描述如何將審計日誌與常規 ownCloud 日誌分離，包括系統管理員無法存取審計文件的配置。最終結果取決於主機權限和部署方式的配置，因此請與您的安全團隊確認，不要想當然地認為使用不同的檔案名稱就能實現職責分離。

如果您使用 Splunk，ownCloud 的稽核文件介紹如何admin_audit.log使用 Splunk 通用轉送器進行監控，以及如何將輸出解析為 JSON 格式。該文件包含範例inputs.conf和props.conf設定。請將轉發器和接收系統視為審計邊界的一部分：保護憑證，在日誌架構支援的情況下加密傳輸，確認事件到達，並在出現資料缺失或資料攝取失敗時發出警報。

一個簡單的示意圖顯示了 ownCloud 伺服器正在寫入 admin_audit.log，Splunk 通用轉送器會將該日誌傳送到 Splunk。 — 日誌收集概述：ownCloud 的文檔描述如何將專用稽核日誌轉送到 Splunk 進行搜尋和分析。

可選：限制條目中出現的群組名稱

預設情況下，審計上下文可以包含與事件相關的使用者以及這些使用者所屬的群組。此OWNCLOUD_ADMIN_AUDIT_GROUPS設定可以限制包含哪些群組名稱。僅當需要採用特定的過濾策略時才使用此功能；減少群組上下文可能會降低後續調查的資訊量。在套用篩選器之前，請先查看產生的記錄以及您的隱私要求。

常見設定問題

未顯示任何稽核記錄：請確認企業稽核應用程式已啟用。如果使用標準日誌，請檢查全域等級是否為 INFO (1) 或 DEBUG (0)。如果使用單獨的日誌文件，請檢查應用程式狀態和可寫入路徑。
缺少預期檔案：文件中所述的 Docker 路徑假定已掛載磁碟區。請檢查有效的容器配置、磁碟區對映和服務使用者權限。
記錄出現在錯誤的位置：檢查活動OWNCLOUD_LOG_CONDITIONS或log.conditions配置，避免重複或衝突的規則。
日誌資訊似乎不完整：活動和審計是不同的應用，審計應用的覆蓋範圍取決於事件類型和版本。在斷定日誌記錄出現問題之前，請先驗證已安裝版本支援的已知事件。
命令列事件缺失： ownCloud 預設包含 CLI 觸發的事件。請檢查是否admin_audit ignore_cli_events已設定為yes。