1.4. 使用 Elytron 进行安全审核

流程

1. 创建文件审计日志。

   使用 elytron 子系统创建文件审计日志的示例：

   /subsystem=elytron/file-audit-log=<audit_log_name>:add(path="<path_to_log_file>", relative-to="<base_for_path_to_log_file>", format=<format_type>, synchronized=<whether_to_log_immediately>)

2. 将文件审计日志添加到安全域。

   在安全域中添加文件审计日志的命令示例

   /subsystem=elytron/security-domain=<security_domain_name>:write-attribute(name=security-event-listener , value=<audit_log_name>)

流程

1. 创建定期轮转文件审计日志。

   在 elytron 子系统中创建定期轮转文件审计日志的示例

   /subsystem=elytron/periodic-rotating-file-audit-log=<periodic_audit_log_name>:add(path="<periodic_audit_log_filename>", relative-to="<path_to_audit_log_directory>", format=<record_format>, synchronized=<whether_to_log_immediately>,suffix="<suffix_in_DateTimeFormatter_format>")

2. 将定期轮转文件审计日志记录器添加到安全域。

   在安全域中添加定期轮转文件审计日志记录示例

   /subsystem=elytron/security-domain=<security_domain_name>:write-attribute(name=security-event-listener, value=<periodic_audit_log_name>)

流程

1. 创建大小轮转文件审计日志。

   使用 elytron 子系统创建大小轮转文件审计日志的示例：

   /subsystem=elytron/size-rotating-file-audit-log=<audit_log_name>:add(path="<path_to_log_file>",relative-to="<base_for_path_to_log_file>",format=<record_format>,synchronized=<whether_to_log_immediately>,rotate-size="<max_file_size_before_rotation>",max-backup-index=<max_number_of_backup_files>)

2. 将大小轮转审计日志记录器添加到安全域。

   使用 elytron 子系统启用大小轮转文件审计日志的示例：

   /subsystem=elytron/security-domain=<domain_size_logger>:write-attribute(name=security-event-listener, value=<audit_log_name>)

流程

1. 添加 syslog 处理程序。

   使用 elytron 子系统添加 syslog 处理程序示例：

   /subsystem=elytron/syslog-audit-log=<syslog_audit_log_name>:add(host-name=<record_host_name>, port=<syslog_server_port_number>, server-address=<syslog_server_address>, format=<record_format>, transport=<transport_layer_protocol>)

   您还可以通过 TLS 将日志发送到 syslog 服务器：

   通过 TLS 发送日志的 syslog 配置示例

   /subsystem=elytron/syslog-audit-log=<syslog_audit_log_name>:add(transport=SSL_TCP,server-address=<syslog_server_address>,port=<syslog_server_port_number>,host-name=<record_host_name>,ssl-context=<client_ssl_context>)

2. 将 syslog 审计日志记录器添加到安全域。

   将 syslog audit logger 添加到安全域的示例

   /subsystem=elytron/security-domain=<security_domain_name>:write-attribute(name=security-event-listener, value=<syslog_audit_log_name>)

流程

1. 创建一个实施 java.util.function.Consumer<org.wildfly.security.auth.server.event.SecurityEvent> 接口的类。例如，每当用户成功或身份验证失败时，以下内容会显示一条消息。

   创建使用指定接口的 Java 类示例：

   public class MySecurityEventListener implements Consumer<SecurityEvent> {
       public void accept(SecurityEvent securityEvent) {
           if (securityEvent instanceof SecurityAuthenticationSuccessfulEvent) {
               System.err.printf("Authenticated user \"%s\"\n", securityEvent.getSecurityIdentity().getPrincipal());
           } else if (securityEvent instanceof SecurityAuthenticationFailedEvent) {
               System.err.printf("Failed authentication as user \"%s\"\n", ((SecurityAuthenticationFailedEvent)securityEvent).getPrincipal());
           }
       }
   }

   示例中的 Java 类会在用户成功或失败时打印消息。

2. 添加 JAR，它将自定义事件监听程序作为 JBoss EAP 模块提供，

   以下是管理 CLI 命令的示例，它将自定义事件监听程序添加为 Elytron 的模块。

   使用 module 命令将自定义事件监听程序作为模块添加到 Elytron 的示例：

   /subsystem=elytron/custom-security-event-listener=<listener_name>:add(module=<module_name>, class-name=<class_name>)

3. 在安全域中引用自定义事件监听程序。

   在 ApplicationDomain 中引用自定义事件监听程序的示例：

   /subsystem=elytron/security-domain=<domain_name>:write-attribute(name=security-event-listener, value=<listener_name>)

4. 重启服务器。

   $ reload

   事件监听程序从指定的安全域接收安全事件。