Установка и настройка сервисов аудита

При включенной ролевой модели действия, связанные с изменением конфигурации региона в GitLab и запуском пайплайнов, выполняет пользователь с ролью admin.

Вывод логов в удалённый системный журнал с помощью Fluentd

Для вывода логов в удалённый сервис системного журнала (syslog) используется fluent-plugin-remote_syslog — плагин Fluentd.

Чтобы изменить настройку плагина:

1. Откройте веб-интерфейс развёрнутого GitLab.

2. Перейдите в репозиторий project_k / deployments / <имя региона>.

3. Перейдите в директорию config. Если такой директории нет, создайте её.

4. Создайте файл fluentd/output/01-cadf-export-syslog.conf со следующим содержимым:

   <match infra.cadf>
       @type copy
       <store>
          @type remote_syslog
          host <syslog_ip>
          port <syslog_port>
          protocol udp
          packet_size 8000
       </store>
   </match>
   

   Где:

   • <syslog_ip> — IP вашего приёмника событий аудита,

   • <syslog_port> — порт вашего приёмника событий аудита.

5. Создайте новый пайплайн: Build > Pipelines > New Pipeline.

6. Оставьте ветку по умолчанию, соответствующую установленному релизу.

7. В открывшемся окне добавьте параметры:

   • KOLLA_ANSIBLE_DEPLOY_ACTION — deploy;

   • KOLLA_ARGS — -t common.

8. Запустите пайплайн: New pipeline.

9. Дождитесь завершения выполнения операции.

Управление уведомлениями о событиях аутентификации в Keystone

По умолчанию Keystone не отправляет сообщения о событиях аутентификации пользователя, так как из-за большого количества этих событий уведомления могут засорять логи. Отключаются следующие типы уведомлений: identity.authenticate.success (успешная аутентификация); identity.authenticate.pending (процесс аутентификации); identity.authenticate.failed (неуспешная попытка аутентификации).

Настроить отправку уведомлений по типам событий можно через конфигурационный файл keystone.conf. Для этого необходимо прописать в файле параметр notification_opt_out, который отключает отправку уведомлений только по определённому типу событий. К примеру, можно настроить конфигурацию таким образом, чтобы отключались только уведомления о pending-событиях аутентификации, а уведомления об успешных и неуспешных попытках аутентификации отправлялись.

Чтобы настроить конфигурацию:

1. Откройте веб-интерфейс развёрнутого GitLab.

2. Перейдите в репозиторий project_k / deployments / <имя региона>.

3. Перейдите в директорию config. Если такой директории нет, создайте её.

4. Откройте файл keystone.conf или создайте его. Добавьте в файл следующие строки:

   [DEFAULT]
   notification_opt_out = identity.authenticate.pending
   

   Данная конфигурация отключит только уведомления о процессе аутентификации.

5. Создайте новый пайплайн: Build > Pipelines > New Pipeline.

6. Оставьте ветку по умолчанию, соответствующую установленному релизу.

7. В открывшемся окне добавьте параметры:

   • KOLLA_ANSIBLE_DEPLOY_ACTION — deploy;

   • KOLLA_ARGS — -t keystone.

8. Запустите пайплайн: New pipeline.

9. Дождитесь завершения выполнения операции.