Перейти к основному содержимому

Отправка событий аудита

Предусловия​

  • модули приложения развернуты;
  • граф репликации создан;
  • сетевые доступы открыты;
  • часть модулей в параметрах инсталляции содержат определенные администратором метки (параметр воркера и модуля приложения, который задается на k8s и указывается в воркере и в модуле приложения).

Процесс​

  1. Пользователь под любой ролью заходит в консоль.

  2. UI инициирует аутентификацию через IAM Proxy, который обращается в АС Мои доступы для проверки логина и пароля. При успешной проверке IAM Proxy выпускает JWT-токен с данными пользователя и его ролями. Токен возвращается в UI и используется в дальнейших запросах.

  3. Пользователь выполняет действие в консоли, например, запускает или останавливает репликацию. UI отправляет этот запрос в консоль бэкенд по REST/HTTPS с mTLS 1.2. Консоль выполняет операцию и сразу возвращает результат пользователю.

  4. Консоль формирует событие аудита (кто, что сделал, над чем, результат, время, роли/привилегии). Чтобы отправить его наружу, консоль обращается к сервису egress. Тот получает из Vault необходимые секреты и сертификаты, а затем запрашивает в OTTS одноразовый токен.

  5. Получив токен и секреты, консоль через egress отправляет событие аудита в сервис COTE по защищенному каналу HTTPS с использованием mTLS 1.2.

  6. COTE принимает событие, сохраняет его и отвечает «200 OK».

    примечание

    Параллельно система может писать логи в LOGA и метрики в MONA. Некоторые события аудита генерируются без использования UI: при старте и завершении приложения отправляются события о начале/завершении аудирования событий, кроме того аудируются события чтения и применения секретов (когда в HashiCorp Vault меняют используемый консолью секрет).