Journal d'audit

Journal d'audit enregistre qui a fait quoi, et quand : les connexions et les tentatives échouées, les utilisateurs et les rôles, les jetons d'accès, les espaces de travail, les portées, chaque étape d'une soumission, les publications, les versions et les étiquettes, et les réglages de l'instance. Seuls les comptes root peuvent le lire, rien ne peut le modifier, et il conserve tous les événements pour l'instant.

Chaque événement tient sur une ligne : l'heure dans votre fuseau horaire (UTC au survol), qui l'a fait, l'action, et une phrase qui dit ce qui s'est passé, comme « A fait passer [email protected] du rôle utilisateur au rôle modérateur ». system et cli signifient que personne n'était connecté, comme pendant l'installation.

Ouvrez une ligne pour voir tous les détails : les deux heures, l'auteur et la cible avec leurs identifiants, l'adresse IP, tout ce que l'événement a enregistré, et le JSON brut à copier. Les détails de chaque événement ont leur propre lien, pour que vous puissiez en partager un.

• Filtrez par action (une seule, ou tout un groupe comme user.*), par auteur (une partie d'un courriel, ou system) et par dates, qui sont des jours UTC. Les filtres s'appliquent dès que vous les changez, s'affichent comme des puces que vous pouvez retirer une à une, et Effacer les retire toutes.
• Triez par heure (les plus récents d'abord, par défaut) ou par action, à partir des en-têtes de colonnes. Cliquez de nouveau sur le même en-tête pour inverser l'ordre.
• Les pages contiennent 25, 50 ou 100 événements, avec Première page, Précédent et Suivant. Le décompte s'arrête à 10 000 (« 10 000+ événements »). Les nouveaux événements ne décalent pas les pages que vous êtes en train de lire.

Toute la vue (filtres, tri, page et un événement ouvert) se trouve dans l'adresse, donc un lien montre à quelqu'un d'autre exactement ce que vous voyez.

Les commandes d'incident du serveur sont aussi enregistrées, sous instance.* :

• instance.access_revoked quand revoke-access a mis fin à des sessions ou révoqué des jetons, avec leur nombre.
• instance.secret_rotated quand rotate-secret a remplacé le secret.

Les changements qu'un fournisseur d'identité fait par SCIM sont enregistrés sans personne comme auteur, marqués comme faits par SCIM : les comptes qu'il crée, met à jour et désactive, et les appartenances que ses groupes changent, et ces entrées nomment le fournisseur. Une requête que Ronne a refusée est enregistrée comme scim.request_refused, avec la raison.

user.two_factor_reset est la réinitialisation de la connexion à deux facteurs de quelqu'un par un compte root, ou par reset-two-factor. Pour savoir quoi faire lors d'un incident, voyez Incidents.