Audit-Meldungen für Objektabruftransaktionen in StorageGRID
Änderungen vorschlagen
PDFs
Objektabruftransaktionen lassen sich im Revisionsprotokoll anhand S3-API-spezifischer Audit-Meldungen identifizieren.
Nicht alle während einer Abruftransaktion generierten Revisionsprotokollmeldungen sind in der folgenden Tabelle aufgeführt. Nur Meldungen, die zur Nachverfolgung der Abruftransaktion erforderlich sind, sind enthalten.
S3-Abruf-Revisionsprotokollmeldungen
| Code | Name | Beschreibung | Verfolgen | Siehe |
|---|---|---|---|---|
SGET |
S3 GET |
Anfrage zum Abrufen eines Objekts aus einem Bucket. |
CBID, S3BK, S3KY |
Beispiel: S3-Objektabruf
Wenn ein S3-Client ein Objekt von einem Speicherknoten (LDR-Dienst) abruft, wird eine Audit-Meldung generiert und im Revisionsprotokoll gespeichert.
Beachten Sie, dass im folgenden Beispiel nicht alle während einer Transaktion generierten Revisionsprotokollmeldungen aufgeführt sind. Es sind nur diejenigen aufgeführt, die sich auf die S3-Abruftransaktion (SGET) beziehen.
SGET: S3 GET
Die Objektabfrage beginnt, wenn der Client eine GetObject-Anfrage an einen LDR Service sendet. Die Nachricht enthält den Bucket, aus dem das Objekt abgerufen werden soll, sowie den S3 Key des Objekts, der zur Identifizierung des Objekts dient.
2017-09-20T22:53:08.782605 [AUDT:[RSLT(FC32):SUCS][TIME(UI64):47807][SAIP(IPAD):"10.96.112.26"][S3AI(CSTR):"43979298178977966408"][SACC(CSTR):"s3-account-a"][S3AK(CSTR):"SGKHt7GzEcu0yXhFhT_rL5mep4nJt1w75GBh-O_FEw=="][SUSR(CSTR):"urn:sgws:identity::43979298178977966408:root"][SBAI(CSTR):"43979298178977966408"][SBAC(CSTR):"s3-account-a"]\[S3BK\(CSTR\):"bucket-anonymous"\]\[S3KY\(CSTR\):"Hello.txt"\][CBID(UI64):0x83D70C6F1F662B02][CSIZ(UI64):12][AVER(UI32):10][ATIM(UI64):1505947988782605]\[ATYP\(FC32\):SGET\][ANID(UI32):12272050][AMID(FC32):S3RQ][ATID(UI64):17742374343649889669]]
Wenn die Bucket-Richtlinie dies zulässt, kann ein Client Objekte anonym abrufen oder Objekte aus einem Bucket abrufen, der einem anderen Mandantenkonto gehört. Die Revisionsmeldung enthält Informationen über das Mandantenkonto des Bucket-Besitzers, sodass Sie diese anonymen und kontoübergreifenden Anforderungen nachverfolgen können.
In der folgenden Beispielnachricht sendet der Client eine GetObject-Anfrage für ein Objekt, das in einem Bucket gespeichert ist, der ihm nicht gehört. Die Werte für SBAI und SBAC geben die Mandantenkonto-ID und den Namen des Bucket-Inhabers an, die sich von der Mandantenkonto-ID und dem Namen des Clients unterscheiden, die in S3AI und SACC aufgezeichnet sind.
2017-09-20T22:53:15.876415 [AUDT:[RSLT(FC32):SUCS][TIME(UI64):53244][SAIP(IPAD):"10.96.112.26"]\[S3AI\(CSTR\):"17915054115450519830"\]\[SACC\(CSTR\):"s3-account-b"\][S3AK(CSTR):"SGKHpoblWlP_kBkqSCbTi754Ls8lBUog67I2LlSiUg=="][SUSR(CSTR):"urn:sgws:identity::17915054115450519830:root"]\[SBAI\(CSTR\):"43979298178977966408"\]\[SBAC\(CSTR\):"s3-account-a"\][S3BK(CSTR):"bucket-anonymous"][S3KY(CSTR):"Hello.txt"][CBID(UI64):0x83D70C6F1F662B02][CSIZ(UI64):12][AVER(UI32):10][ATIM(UI64):1505947995876415][ATYP(FC32):SGET][ANID(UI32):12272050][AMID(FC32):S3RQ][ATID(UI64):6888780247515624902]]
Beispiel: S3 Select für ein Objekt
Wenn ein S3-Client eine S3 Select-Abfrage für ein Objekt ausführt, werden Audit-Meldungen generiert und im Revisionsprotokoll gespeichert.
Beachten Sie, dass nicht alle während einer Transaktion generierten Revisionsmeldungen im folgenden Beispiel aufgeführt sind. Es sind nur die Meldungen aufgeführt, die sich auf die S3 Select Transaktion (SelectObjectContent) beziehen.
Jede Abfrage führt zu zwei Prüfmeldungen: einer, die die Autorisierung der S3 Select-Anfrage durchführt (das Feld S3SR ist auf "select" gesetzt) und einer nachfolgenden Standard-GET-Operation, die die Daten während der Verarbeitung aus dem Speicher abruft.
2021-11-08T15:35:30.750038 [AUDT:[RSLT(FC32):SUCS][CNID(UI64):1636385730715700][TIME(UI64):29173][SAIP(IPAD):"192.168.7.44"][S3AI(CSTR):"63147909414576125820"][SACC(CSTR):"Tenant1636027116"][S3AK(CSTR):"AUFD1XNVZ905F3TW7KSU"][SUSR(CSTR):"urn:sgws:identity::63147909414576125820:root"][SBAI(CSTR):"63147909414576125820"][SBAC(CSTR):"Tenant1636027116"][S3BK(CSTR):"619c0755-9e38-42e0-a614-05064f74126d"][S3KY(CSTR):"SUB-EST2020_ALL.csv"][CBID(UI64):0x0496F0408A721171][UUID(CSTR):"D64B1A4A-9F01-4EE7-B133-08842A099628"][CSIZ(UI64):0][S3SR(CSTR):"select"][AVER(UI32):10][ATIM(UI64):1636385730750038][ATYP(FC32):SPOS][ANID(UI32):12601166][AMID(FC32):S3RQ][ATID(UI64):1363009709396895985]]
2021-11-08T15:35:32.604886 [AUDT:[RSLT(FC32):SUCS][CNID(UI64):1636383069486504][TIME(UI64):430690][SAIP(IPAD):"192.168.7.44"][HTRH(CSTR):"{\"x-forwarded-for\":\"unix:\"}"][S3AI(CSTR):"63147909414576125820"][SACC(CSTR):"Tenant1636027116"][S3AK(CSTR):"AUFD1XNVZ905F3TW7KSU"][SUSR(CSTR):"urn:sgws:identity::63147909414576125820:root"][SBAI(CSTR):"63147909414576125820"][SBAC(CSTR):"Tenant1636027116"][S3BK(CSTR):"619c0755-9e38-42e0-a614-05064f74126d"][S3KY(CSTR):"SUB-EST2020_ALL.csv"][CBID(UI64):0x0496F0408A721171][UUID(CSTR):"D64B1A4A-9F01-4EE7-B133-08842A099628"][CSIZ(UI64):10185581][MTME(UI64):1636380348695262][AVER(UI32):10][ATIM(UI64):1636385732604886][ATYP(FC32):SGET][ANID(UI32):12733063][AMID(FC32):S3RQ][ATID(UI64):16562288121152341130]]