Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Informationen zur Funktionsweise des ONTAP-Auditprozesses

07/23/2026 Beitragende

PDFs

Der ONTAP Auditing-Prozess unterscheidet sich vom Microsoft Auditing-Prozess. Vor der Konfiguration des Auditing empfiehlt es sich, die Funktionsweise des ONTAP Auditing-Prozesses zu verstehen.

Audit-Protokolle werden zunächst in binären Staging-Dateien auf den einzelnen Nodes gespeichert. Wenn die Auditierung für eine SVM aktiviert ist, verwaltet jeder Mitgliedsnode Staging-Dateien für diese SVM. Periodisch werden sie konsolidiert und in benutzerlesbare Ereignisprotokolle umgewandelt, die im Verzeichnis für Revisionsprotokolle des SVM gespeichert werden.

Prozess, wenn die Protokollierung auf einer SVM aktiviert ist

Auditing kann nur auf SVMs aktiviert werden. Wenn der Storage-Administrator Auditing auf der SVM aktiviert, prüft das Auditing-Subsystem, ob Staging-Volumes vorhanden sind. Für jedes Aggregat, das Daten-Volumes enthält, die der SVM gehören, muss ein Staging-Volume existieren. Das Auditing-Subsystem erstellt alle benötigten Staging-Volumes, falls diese nicht vorhanden sind.

Das Überwachungssubsystem führt außerdem weitere vorbereitende Aufgaben aus, bevor die Überwachung aktiviert wird:

Das Überwachungssubsystem überprüft, ob der Pfad zum Protokollverzeichnis verfügbar ist und keine Symlinks enthält.

Das Protokollverzeichnis muss bereits als Pfad im Namespace der SVM vorhanden sein. Es wird empfohlen, ein neues Volume oder einen neuen Qtree für die Revisionsprotokolldateien zu erstellen. Das Auditing-Subsystem weist keinen Standardspeicherort für Protokolldateien zu. Wenn der in der Auditing-Konfiguration angegebene Protokollverzeichnispfad kein gültiger Pfad ist, schlägt die Erstellung der Auditing-Konfiguration mit dem The specified path "/path" does not exist in the namespace belonging to Vserver "Vserver_name" Fehler fehl.

Die Konfigurationserstellung schlägt fehl, wenn das Verzeichnis existiert, aber symbolische Links enthält.
Die Protokollierung plant die Konsolidierungsaufgabe.

Nachdem diese Aufgabe eingeplant wurde, ist die Überwachung aktiviert. Die SVM-Überwachungskonfiguration und die Protokolldateien bleiben auch nach einem Neustart oder wenn die NFS- oder SMB-Server gestoppt oder neu gestartet werden, erhalten.

Zusammenführung der Ereignisprotokolle

Die Protokollkonsolidierung ist eine geplante Aufgabe, die regelmäßig ausgeführt wird, bis die Überwachung deaktiviert ist. Wenn die Überwachung deaktiviert ist, überprüft die Konsolidierungsaufgabe, ob alle verbleibenden Protokolle konsolidiert sind.

Garantierte Prüfung

Standardmäßig ist die Protokollierung gewährleistet. ONTAP garantiert, dass alle protokollierbaren Dateizugriffsereignisse (wie durch die konfigurierte Zugriffssteuerungsliste festgelegt) aufgezeichnet werden, selbst wenn ein Node nicht verfügbar ist. Ein angeforderter Dateivorgang kann erst abgeschlossen werden, wenn der Protokolleintrag für diesen Vorgang im Staging-Volume auf dem persistenten Speicher gespeichert wurde. Können Protokolleinträge nicht in den Staging-Dateien auf der Festplatte gespeichert werden, entweder aufgrund von unzureichendem Speicherplatz oder anderen Problemen, werden Clientvorgänge abgelehnt.

Ein Administrator oder ein Benutzer mit privilegiertem Zugriff kann die Protokollierung von Dateizugriffen umgehen, indem NetApp Manageability SDK oder REST-APIs verwendet werden. Ob Dateizugriffe mithilfe von NetApp Manageability SDK oder REST-APIs erfolgt sind, lässt sich durch Überprüfung der in der audit.log Datei gespeicherten Befehlshistorie feststellen.

Weitere Informationen zu Revisionsprotokollen des Befehlsverlaufs finden sich im Abschnitt „Protokollierung verwalten für Managementaktivitäten“ in "Systemadministration".

Konsolidierungsprozess, wenn ein Node nicht verfügbar ist

Wenn ein Knoten, der Volumes enthält, die zu einer SVM mit aktivierter Überwachung gehören, nicht verfügbar ist, hängt das Verhalten der Überwachungskonsolidierungsaufgabe davon ab, ob der Storage-Failover-Partner (SFO-Partner) des Knotens (oder der HA-Partner im Falle eines Zwei-Node-Cluster) verfügbar ist:

Wenn das Staging-Volume über den SFO-Partner verfügbar ist, werden die zuletzt vom Node gemeldeten Staging-Volumes gescannt und die Konsolidierung verläuft normal.
Falls der SFO-Partner nicht verfügbar ist, erstellt die Aufgabe eine Teilprotokolldatei.

Wenn ein Knoten nicht erreichbar ist, konsolidiert der Konsolidierungsvorgang die Revisionsprotokolle der anderen verfügbaren Knoten dieser SVM. Zur Kennzeichnung, dass die Konsolidierung nicht abgeschlossen ist, fügt der Vorgang dem Dateinamen der konsolidierten Datei das Suffix .partial hinzu.
Sobald der nicht verfügbare Knoten wieder verfügbar ist, werden die Revisionsprotokolle dieses Knotens mit den Revisionsprotokollen der anderen Knoten zu diesem Zeitpunkt zusammengeführt.
Alle Revisionsprotokolle werden aufbewahrt.

Ereignisprotokollrotation

Die Revisionsprotokolldateien werden rotiert, wenn sie eine konfigurierte Schwellenwertgröße erreichen oder nach einem festgelegten Zeitplan. Wenn eine Revisionsprotokolldatei rotiert wird, benennt der geplante Konsolidierungsvorgang zunächst die aktive konvertierte Datei in eine mit einem Zeitstempel versehene Archivdatei um und erstellt anschließend eine neue aktive konvertierte Revisionsprotokolldatei.

Prozess, wenn die Protokollierung auf der SVM deaktiviert ist

Wenn die Überwachung auf der SVM deaktiviert ist, wird die Konsolidierungsaufgabe ein letztes Mal ausgeführt. Alle ausstehenden, aufgezeichneten Revisionsprotokolle werden in einem für Benutzer lesbaren Format protokolliert. Vorhandene Ereignisprotokolle im Ereignisprotokollverzeichnis werden bei Deaktivierung der Überwachung auf der SVM nicht gelöscht und stehen weiterhin zur Ansicht zur Verfügung.

Nachdem alle vorhandenen Staging-Dateien für diese SVM konsolidiert wurden, wird die Konsolidierungsaufgabe aus dem Zeitplan entfernt. Das Deaktivieren der Auditing-Konfiguration für die SVM entfernt die Auditing-Konfiguration nicht. Ein Storage-Administrator kann die Auditing-Funktion jederzeit wieder aktivieren.

Der Auditing-Konsolidierungsauftrag, der bei aktivierter Auditing-Funktion erstellt wird, überwacht die Konsolidierungsaufgabe und erstellt sie neu, falls die Konsolidierungsaufgabe aufgrund eines Fehlers beendet wird. Benutzer können den Auditing-Konsolidierungsauftrag nicht löschen.