Документация Grafana Документация GlaberGraph Настройка Настройка безопасности Аудит экземпляра Grafana

Аудит экземпляра Grafana

Аудит позволяет отслеживать важные изменения в вашем экземпляре Grafana. В зависимости от вашего развёртывания вы можете отправлять журналы аудита в файл, на совместимую с Loki конечную точку или в стандартный логгер Grafana.

Журнал аудита создаётся только для запросов к API или действий в интерфейсе, которые вызывают запрос к API.

• Grafana Enterprise поддерживает все три экспортёра: file, Loki и console.
• Grafana Cloud использует экспортёр Loki. Чтобы включить журналы аудита для вашего экземпляра Grafana Cloud, создайте обращение в службу поддержки. Применяются стандартные тарифы на приём и хранение.

Как устроены журналы аудита

Журналы аудита — это объекты JSON, представляющие действия пользователей, например:

• Изменения ресурсов, таких как дашборды и источники данных.
• Неудачная попытка пользователя войти в систему.

Формат журнала аудита

Журналы аудита содержат следующие поля. Поля, помеченные *, присутствуют всегда, остальные зависят от типа записанного действия.

Поле additionalData может содержать следующую информацию:

Определение записанных действий

Журналы аудита включают записи о следующих категориях действий. Каждое действие различается по полям action и resources[...].type в записи JSON.

Например, создание ключа API порождает такой журнал аудита:

JSON Copy

{
  "action": "create",
  "resources": [
    {
      "id": 1,
      "type": "api-key"
    }
  ],
  "timestamp": "2021-11-12T22:12:36.144795692Z",
  "user": {
    "userId": 1,
    "orgId": 1,
    "orgRole": "Admin",
    "username": "admin",
    "isAnonymous": false,
    "authTokenId": 1
  },
  "request": {
    "body": "{\"name\":\"example\",\"role\":\"Viewer\",\"secondsToLive\":null}"
  },
  "result": {
    "statusType": "success",
    "statusCode": 200,
    "responseBody": "{\"id\":1,\"name\":\"example\"}"
  },
  "resources": [
    {
      "id": 1,
      "type": "api-key"
    }
  ],
  "requestUri": "/api/auth/keys",
  "ipAddress": "127.0.0.1:54652",
  "userAgent": "Mozilla/5.0 (X11; Linux x86_64; rv:94.0) Gecko/20100101 Firefox/94.0",
  "grafanaVersion": "8.3.0-pre"
}

Некоторые действия можно различить только по их полям requestUri. Для таких действий приводится соответствующий шаблон поля requestUri.

Почти все записанные действия соответствуют запросам к API или действиям в интерфейсе, которые вызывают запрос к API. Например, действие {"action": "email", "resources": [{"type": "report"}]} соответствует инициированному пользователем предпросмотру отчёта по электронной почте, а не отправке по расписанию.

Сессии

* Где AUTH-MODULE — имя модуля аутентификации: grafana, saml, ldap и т. д.
** Включает ручной выход, истечение/отзыв токена и единый выход SAML.

Сервисные учётные записи

Управление доступом

Управление пользователями

Управление командами и организациями

* Где TEAM-ID — ID затронутой команды, а GROUP-ID (если присутствует) — ID внешней группы.

Управление папками и дашбордами

Управление элементами библиотек

Управление источниками данных

* resources также может содержать третий элемент, где "type": имеет значение "user" или "team".

Запросы к источникам данных

Отчётность

Управление аннотациями, плейлистами и снимками

Провижининг

Управление плагинами

Прочее

Управление миграцией в облако

Общие действия

Помимо перечисленных выше действий, любой HTTP-запрос (POST, PATCH, PUT и DELETE) к API записывается с одним из следующих общих действий.

Вы также можете записывать запросы GET. Чтобы включить это, см. раздел Настройка журналирования аудита.

Настройка журналирования аудита

Журналы аудита можно сохранять в файлы, отправлять на совместимую с Loki конечную точку или в стандартный логгер Grafana. Какой экспортёр использовать, выбирается в файле конфигурации.

Доступные варианты — file, loki и logger. Несколько режимов разделяются пробелами, например file loki.

Не все экспортёры доступны во всех вариантах развёртывания:

По умолчанию содержимое дашбордов не попадает в журналы аудита, поскольку это может значительно увеличить размер журнала. Чтобы включить содержимое дашбордов, включите параметр log_dashboard_content.

Тела запросов и ответов при запросах к источникам данных также по умолчанию исключаются. Включение log_datasource_query_request_body или log_datasource_query_response_body значительно увеличивает объём журналов и может раскрыть конфиденциальные данные, такие как параметры запросов, учётные данные или персональные данные.

Прежде чем Grafana обработает DELETE /api/admin/users/{id}, она пытается зафиксировать отображаемое имя пользователя, а если отображаемое имя пусто — логин, чтобы журнал аудита мог сохранить его после успешного удаления. Параметр snapshot_timeout задаёт кооперативный контекстный срок для этого поиска. Хранилище пользователей должно учитывать отмену контекста, поэтому эта настройка не является жёсткой верхней границей задержки запроса. Если поиск завершается неудачей или обнаруживает истёкший срок, Grafana продолжает обработку запроса. Если удаление прошло успешно, журнал аудита не содержит resources[x].name.

ini Copy

[auditing]
# Enable the auditing feature
enabled = false
# List of enabled loggers
loggers = file
# Keep dashboard content in the logs (request or response fields); this can significantly increase the size of your logs.
log_dashboard_content = false
# Whether to record data source queries' request body. This can significantly increase the size of your logs. Disabled by default.
log_datasource_query_request_body = false
# Whether to record data source queries' response body. This can significantly increase the size of your logs. Disabled by default.
log_datasource_query_response_body = false
# Keep requests and responses body; this can significantly increase the size of your logs.
verbose = false
# Write an audit log for every status code.
# By default it only logs the following ones: 2XX, 3XX, 401, 403 and 500.
log_all_status_codes = false
# Maximum response body (in bytes) to be audited; 500KiB by default.
# May help reducing the memory footprint caused by auditing.
max_response_size_bytes = 512000
# Timeout for resolving resource names before Grafana serves a request that
# may delete resources. Uses duration format, for example, 500ms or 2s.
# The default is 500ms.
snapshot_timeout = 500ms

У каждого экспортёра есть собственные поля конфигурации.

Экспортёр File

Журналы аудита сохраняются в файлы. Вы можете настроить папку, в которой будут сохраняться эти файлы. Журналы ротируются при превышении размера файла и в начале нового дня.

ini Copy

[auditing.logs.file]
# Path to logs folder
path = data/log
# Maximum log files to keep
max_files = 5
# Max size in megabytes per log file
max_file_size_mb = 256

Экспортёр Loki

Журналы аудита отправляются на совместимую с Loki конечную точку по HTTP или gRPC. Этот экспортёр можно использовать для отправки журналов в Grafana Cloud Logs, в самостоятельно развёрнутый экземпляр Loki или в любой другой сервис, принимающий push API Loki.

ini Copy

[auditing.logs.loki]
# Set the communication protocol to use with Loki (can be grpc or http)
type = grpc
# Set the address for writing logs to Loki
url = localhost:9095
# Defaults to true. If true, it establishes a secure connection to Loki
tls = true
# Set the tenant ID for Loki communication, which is disabled by default.
# The tenant ID is required to interact with Loki running in multi-tenant mode.
tenant_id =
# Only available for the HTTP client. Disabled by default.
# How long to wait before sending a request to Loki with the batch of events. Uses duration format, for example, 5s, 1m
# Whichever threshold is hit first between `batch_wait_duration` and `batch_size_bytes` triggers the batch to be sent to Loki.
# If the wait duration is very long and the `batch_size_bytes` is very high, events might take a long time to be sent.
# To enable batching, you must also set the `batch_size_bytes` configuration option.
batch_wait_duration =
# Only available for the HTTP client. Disabled by default.
# How many events, in bytes, to accumulate in a single batch before sending it to Loki.
# Whichever threshold is hit first between `batch_wait_duration` and `batch_size_bytes` triggers the batch to be sent to Loki.
# If you want to always wait for the `batch_wait_duration`, set `batch_size_bytes` to a very high number.
# To enable batching, you must also set the `batch_wait_duration` configuration option.
batch_size_bytes =

Если несколько экземпляров Grafana отправляют журналы в один и тот же сервис Loki или если вы используете Loki для журналов, не относящихся к аудиту, журналы аудита сопровождаются дополнительными метками, помогающими их опознать:

Если ваш экземпляр Loki требует basic-аутентификацию, укажите учётные данные в поле URL. Например:

ini Copy

# Set the communication protocol to use with Loki (can be grpc or http)
type = http
# Set the address for writing logs to Loki
url = user:password@localhost:3000

Экспортёр Console

Журналы аудита отправляются в стандартный логгер Grafana. Эти журналы используют логгер auditing.console и записываются на уровне debug. Как включить журналирование уровня debug, см. в разделе конфигурация журнала. Получение журналов аудита таким способом не рекомендуется для промышленной эксплуатации.