启用审计数据导出 - BlueCat Integrity - 9.5.0

以下部分概述了启用“审计数据导出”的步骤。如果您要进行配置以将审计数据导出到 Splunk™ 服务器，请确保您具有 Splunk HTTP 事件收集器 (HEC) 主机和令牌信息。有关在 Splunk 上配置 HTTP 事件收集器的详细信息，请参阅 Splunk 文档。

1. 选择管理选项卡。选项卡会记住上次处理的页面，因此请再次选择该选项卡以确保您在管理页面上。
2. 在数据管理下，单击审计数据设置。
3. 单击审计数据导出。
4. 在通用下，设置以下参数：
   • 启用审计数据导出 — 选中此复选框可启用“审计数据导出”功能。
   • 日志目标 — 选择审计数据将导出到的位置。可以将数据导出到 HTTP 端点、Splunk 服务器、Kafka 集群或 Elasticsearch 服务器。
     如果选择 HTTP，将显示以下字段：

     • 输出 URI — 输入 HTTP 端点的 URI。
       注：

       • BlueCat 建议在此字段中输入端点的 IP 地址。
       • 输出 URI 字段的 URI 必须遵循 RFC2396 中所述的格式。
     • 运行状况检查 — 选中此复选框可启用运行状况检查服务，取消选中此复选框可禁用运行状况检查服务。在初始化时，运行状况检查可确保下游服务可访问，且可接受审计数据。
     • 运行状况检查 URI — 输入将使用运行状况检查信息的 HTTP 端点的 URI。
       注： 运行状况检查 URI 字段的 URI 必须遵循 RFC2396 中所述的格式。
     如果选择 Splunk，将显示以下字段：

     • 主机 — 输入 Splunk HEC 主机的 URI。Splunk Enterprise 中 HEC URI 的标准格式如下：

       <protocol>://<FQDN or IP address of the host only>:<port>

       注：

       • BlueCat 建议在此字段中输入端点的 IP 地址。
       • 请确保完全遵循上述 HEC URI 格式，而未添加或省略任何部分。端口是必需的，即使是默认端口。不要在 URI 中包含额外的斜杠或文件夹。
       • 主机字段的 URI 必须遵循 RFC2396 中所述的格式。
     • 令牌 — 输入 Splunk HEC 令牌。
     • 运行状况检查 — 选中此复选框可启用运行状况检查服务，取消选中此复选框可禁用运行状况检查服务。在初始化时，运行状况检查可确保下游服务可访问，且可接受审计数据。
       注： 选中此复选框后，Address Manager 服务器将在 /services/collector/health/1.0 中使用默认的 Splunk 运行状况检查端点。
     如果选择 Kafka，将显示以下字段：

     • 主题 — 输入要将事件写入到的 Kafka 主题的名称。
     • 引导服务器 — 输入以逗号分隔的主机和端口对列表，这些主机和端口对是“引导” Kafka 集群中的 Kafka 代理的地址，Kafka 客户端将连接到该集群以实现初始自我引导。此字段支持 IPv4、IPv6 和 FQDN 值。

       示例：10.14.22.123:9092,10.14.23.332:9092

       注：

       • BlueCat 建议在此字段中使用 IP 地址。
       • 不要在 Kafka 代理的地址中包含 http 或 https。
     • 键字段（可选） — 输入用于主题键的日志字段名称或标签键。如果日志或标签中不存在字段，则将使用空白值。如果未指定，则不发送键。Kafka 使用键的散列来选择分区，或者如果记录没有键，则使用轮询。
     • 运行状况检查 — 选中此复选框可启用运行状况检查服务，取消选中此复选框可禁用运行状况检查服务。在初始化时，运行状况检查可确保下游服务可访问，且可接受审计数据。
       注： 根据 Kafka Broker 地址配置运行状况检查 URI。
     如果选择 Elasticsearch，将显示以下字段：

     • 端点 — 输入要将日志发送到的 Elasticsearch 端点。此字段支持 IPv4、IPv6 和 FQDN 值。

       示例：http://10.24.32.122:9000

       示例：https://example.com

       示例：https://user:password@example.com

       注：

       • BlueCat 建议在此字段中输入端点的 IP 地址。
     • 索引 — 输入要将事件写入到的 Elasticsearch 索引名称。
     • 用户 — 输入基本认证用户名。
     • 认证 — 输入基本认证密码。
     • 运行状况检查 — 选中此复选框可启用运行状况检查服务，取消选中此复选框可禁用运行状况检查服务。在初始化时，运行状况检查可确保下游服务可访问，且可接受审计数据。
       注： 根据 Elasticsearch 实例配置运行状况检查 URI。
   • TLS 选项 — 选中此复选框可配置 TLS 选项。
     注意： 如果在配置输出时在 输出 URI、运行状况检查 URI、主机、引导服务器或端点字段中输入 HTTPS 端点，则必须选中此复选框并输入 TLS 信息。
     • 在 CA 证书上传下，单击浏览并找到将用于验证远程主机的 TLS 服务器证书上的 CA 签名的 CA 证书（受信任的第三方或自签名）。
       注： 包含 CA 证书或证书包的文件必须为 PEM 格式。为确保 TLS 握手成功，上传到客户端 (BAM) 的 CA 证书应与服务器用于验证其 TLS 服务器证书的 CA 签名的 CA 证书（和中间证书，如果适用）相同。可以通过浏览器导出或其他可信来源获取 CA 证书，并将其转换为 PEM 格式。
     • 单击上传以上传 CA 证书。
     • 选中验证证书复选框以尝试使用上传的 CA 证书与远程主机的 TLS 服务器证书进行 TLS 握手。
       注： 验证证书不会验证所上传证书的真实性。此上下文中的验证证书仅检查 CA 证书是否与 TLS 服务器证书准确匹配以创建成功的握手。
       注： 如果验证证书发生错误，则可能需要在 Address Manager 服务器上手动安装 CA/链式 CA 证书。有关手动安装说明，请参阅 BlueCat 客户服务中心门户上的 KB-17944。
     • 选中验证主机名复选框以在 TLS 握手期间根据服务器证书的 CN（公共名称）或 SAN（使用者可选名称）验证 URI 的主机名部分。
       注： 如果使用自签名证书，建议用户添加带有 IP 地址的主题备用名称（请参阅 RFC 5280 4.2.1.6），或禁用验证主机名检查。
5. 单击更新。