在自管理部署上配置审核

输出到系统日志

要启用审核并将审核事件打印到系统日志（该选项在 Windows 上不可用），请为 --auditDestination 设置指定 syslog。例如：

mongod --dbpath data/db --auditDestination syslog

根据配置要求包括其他选项。例如，如果希望远程客户端连接到您的部署，或是您的部署成员运行在不同主机上，请指定 --bind_ip。

您还可以在配置文件中指定这些选项：

storage:
   dbPath: data/db
auditLog:
   destination: syslog

输出到控制台

要启用审核并将审核事件打印到标准输出（即 stdout），请为 --auditDestination 设置指定 console。例如：

mongod --dbpath data/db --auditDestination console

根据配置要求包括其他选项。例如，如果希望远程客户端连接到您的部署，或是您的部署成员运行在不同主机上，请指定 --bind_ip。

您还可以在配置文件中指定这些选项：

storage:
   dbPath: data/db
auditLog:
   destination: console

输出到 JSON 文件

要启用审核并将审核事件打印到 JSON 格式的文件中，请指定以下选项：

例如，以下命令启用审核功能，并将审核事件记录到相对路径名为 data/db/auditLog.json 的文件：

mongod --dbpath data/db --auditDestination file --auditFormat JSON --auditPath data/db/auditLog.json

根据配置要求包括其他选项。例如，如果希望远程客户端连接到您的部署，或是您的部署成员运行在不同主机上，请指定 --bind_ip。

可使用 logRotate 命令轮换审核文件（与服务器日志一起，或单独轮换）。可使用 systemLog.logRotate 配置文件选项或 --logRotate 命令行选项来配置轮换的具体参数。

您还可以在配置文件中指定这些选项：

storage:
   dbPath: data/db
auditLog:
   destination: file
   format: JSON
   path: data/db/auditLog.json

输出到 BSON 文件

要启用审核并将审核事件打印到 BSON 二进制格式的文件，请指定以下选项：

例如，以下命令会启用审核并将审核事件记录到相对路径名为 data/db/auditLog.bson 的 BSON 文件中：

mongod --dbpath data/db --auditDestination file --auditFormat BSON --auditPath data/db/auditLog.bson

根据配置要求包括其他选项。例如，如果希望远程客户端连接到您的部署，或是您的部署成员运行在不同主机上，请指定 --bind_ip。

审核文件会与服务器日志文件同时rotated。可使用 systemLog.logRotate 配置文件选项或 --logRotate 命令行选项来配置轮换的具体参数。

您还可以在配置文件中指定这些选项：

storage:
   dbPath: data/db
auditLog:
   destination: file
   format: BSON
   path: data/db/auditLog.bson

以下示例使用 bsondump 将审核日志转换为可读形式，并输出结果：

bsondump data/db/auditLog.bson

以 OCSF 格式输出消息

从 MongoDB 8.0 开始，MongoDB 可以以 OCSF 格式写入日志消息。OCSF 模式以与日志处理器兼容的标准化格式提供日志。

要使用 OCSF 模式记录日志消息，请将 --auditSchema 选项设置为 OCSF。例如：

mongod --dbpath data/db --auditDestination file --auditFormat JSON --auditPath data/db/auditLog.json --auditSchema OCSF

您还可以在 auditLog.schema 配置文件选项中指定 OCSF 架构：

storage:
   dbPath: data/db
auditLog:
   destination: file
   format: JSON
   path: data/db/auditLog.json
   schema: OCSF

有关 OCSF 架构的更多信息，请参阅 OCSF 模式审核消息。

将关注分离

在 MongoDB 5.0 之前，审核 MongoDB mongod 或 mongos 实例的所有人员均须具有对主机服务器文件系统的写入权限才能更新审核筛选器。运行时审核筛选器管理通过将审核访问与管理访问进行分离来提高安全性。

使用运行时审核筛选器管理而不是直接编辑配置文件意味着：

• 由于无需访问文件系统，因此审核员无需访问 mongod 或 mongos 主机服务器。

• 您无法直接访问 mongod 或 mongos 实例的配置文件。

• 运行时审核筛选器管理仅会开放审核筛选器和 auditAuthorizationSuccess 参数。

运行时可配置性

从 MongoDB 5.0 开始，启用运行时审核筛选器管理后，可在运行时重新配置审核，而无需重启 mongod 或 mongos 实例。静态配置的实例必须重新启动才能更新其审核设置。

关闭并重新启动实例时，在运行时所做的审核筛选器修改仍会存在。

一致性(Consistency)

在集群内，如果将所有 mongod 和 mongos 参与节点均配置为使用运行时审核筛选器管理，则每个节点均会使用相同的审核筛选器。相反，如果每个节点均有自己在本地配置的审核筛选器，则无法保证各节点间审核筛选器的一致性。

启用运行时 Atlas 审核过滤器管理

从 MongoDB 5.0 开始，可在运行时配置 mongod 和 mongos 节点的审核配置。一组这样的节点可以参与分布式审核配置。

要将节点包含在分布式审核配置中，请按如下方式更新节点的配置文件并重新启动服务器。

如果出现以下情况，服务器将记录错误并无法启动：

• runtimeConfiguration 为 true 并且

• auditLog.filter 或 auditAuthorizationSuccess 已设置。

要在运行时修改审核筛选器和 auditAuthorizationSuccess 参数，请参阅 auditConfig。