Truenas Samba Full_Audit 审计日志设置实例

Truenas Samba Full_Audit 审计日志设置实例

Truenas Samba Full_Audit 审计日志设置实例

Samba audit审记日志对企业网管来说非常重要，是事后溯源的重要工具。Full_Audit 允许记录共享上的所有操作，如创建文件、删除文件、更改路径…
**1）**转到服务-> SMB->动作

**2）**在“附加参数”中添加这些行：
‘log level = 3 vfs:10 #设定日志级别，这一行不写，没有samba审计日志。
log file = /home/sambalog/%m.log #设定客户机日志保存位置
full_audit:prefix = %u|%I|%m|%S # %u:表示用户，%I: 用户IP地址，%m 表示客户机名称，%S Samba服务器共享名称
full_audit:success = rename write pwrite unlinkat linkat mkdirat #编辑这些参数！（阅读https://www.samba.org/samba/docs/current/man-html/vfs_full_audit.8.html）
full_audit:failure = none #不记录审计失败的信息
full_audit:facility = local5 #指定日志保存的设施，是指审记日志保存到那里
full_audit:priority = notice #记录信息的级别

**3）**现在转到共享->window共享（SMB）->添加、或修改共享文件夹的参数，然后单击“高级模式”（在选项卡的末尾），现在将这些行添加到“附加参数”：
vfs objects = zfsacl;recycle;full_audit
zfsacl是zfs文件权限，recycle是回收站，full_audit是审记，所有的VFS对象都要写在同一行，”vfs objects=“的后面，以”;“间隔，否则只有最后一个参数生效。图例：

**4)**要更改日志的路径，需要编辑文件“/etc/local/syslog-ng.conf”，要成为永久文件，您必须编辑文件“/conf/base/etc/local/syslog-ng.conf.freenas ”、/etc/local/syslog-ng.conf.freenas。我添加了以下2行:
destination m_samba_audit { file("/usr/log/sambalog/activity.log"); };
log { source(src); filter(f_local5);destination(m_samba_audit); flags(final); };

重启syslog-ng
service syslog-ng restart

这四步做完后，在/usr/log/sambalog/activity.log可以看到相应日志。

5）日志轮转，在“/conf/base/etc/newsyslog.conf”中添加一行下面的内容，示例是保存2年日志：
/var/log/sambalog/activity.log 640 720 * u/T00 JC