`/sys/audit`

Конечная точка /sys/audit используется для составления списка включения и отключения устройств аудита. Устройства аудита должны быть включены перед использованием. Одновременно может быть включено несколько устройств.

1. Список включенных устройств аудита

В данной конечной точке перечислены только включенные устройства аудита (все доступные устройства аудита не перечислены).

sudo требуется – эта конечная точка требует sudo возможности в дополнение к любым возможностям, специфичным для пути.

Метод

Путь

GET

/sys/audit

Пример запроса:

curl \
  --header "X-Vault-Token: ..." \
  http://127.0.0.1:8200/v1/sys/audit

Пример ответа:

{
  "file": {
    "type": "file",
    "description": "Store logs in a file",
    "options": {
      "file_path": "/var/log/starvault/audit.log"
    }
  }
}

2. Включение устройства аудита

Данная конечная точка активирует новое устройство аудита по указанному пути. Путь может быть представлен одним словом или более сложным, вложенным путем.

Метод

Путь

POST

/sys/audit/:path

2.1. Параметры

description (string: "") – дает понятное для человека описание устройства аудита.
type (string: <required>) – указывает тип устройства аудита. Допустимые типы: file, socket и syslog.
options (map<string|string>: nil) – задает параметры конфигурации, которые передаются на само устройство аудита.
- file_path (string: <required>) – указывает путь для включения устройства аудита. Это часть URL-адреса запроса.
- mode (string: <required>) - параметр определяет права доступа к файлу журнала аудита в восьмеричном формате, аналогично команде chmod в Unix-системах.
- hmac_accessor (bool: true) - если true, активирует хеширование accessor токена.
- elide_list_responses (bool: false) - обеспечивает гибкость, позволяя не записывать полные данные ответов из журнала аудита, что снижает вероятность создания очень длинных отдельных записей аудита.
- format (string: json) – позволяет выбрать формат вывода. Единственное допустимое значение – "json"; если указана пустая строка, параметр автоматически устанавливается в "json".
- log_raw (bool: false) – если параметр включен, в журнал записывается конфиденциальная информация в открытом виде, без хеширования.
- prefix (string: "") – настраиваемая строка‑префикс, которая добавляется перед каждой строкой журнала.

Пример тела запроса:

{
  "type": "file",
  "options": {
    "file_path": "/var/log/starvault/audit.log"
    "mode": "0644",
    "hmac_accessor":  false,
    "elide_list_responses": true
  }
}

Пример запроса:

curl \
  --header "X-Vault-Token: ..." \
  --request POST \
  --data @payload.json \
  http://127.0.0.1:8200/v1/sys/audit/example-audit

3. Отключение устройства аудита

Эта конечная точка отключает устройство аудита по указанному пути.

После отключения устройства аудита вы больше не сможете сравнивать значения HMAC с записями в журналах аудита. Это справедливо даже при повторном включении устройства аудита по тому же пути, поскольку для хеширования будет создана новая соль.

sudo требуется – эта конечная точка требует sudo возможности в дополнение к любым возможностям, специфичным для пути.

Метод

Путь

DELETE

/sys/audit/:path

3.1. Параметры

path (string: <required>) – указывает путь к устройству аудита, которое необходимо удалить. Это часть URL-адреса запроса.

Пример запроса:

curl \
  --header "X-Vault-Token: ..." \
  --request DELETE \
  http://127.0.0.1:8200/v1/sys/audit/example-audit