ja:documentation:pandorafms:technical_annexes:rsyslog-audit-forwarding

差分

このページの2つのバージョン間の差分を表示します。

この比較画面へのリンク

両方とも前のリビジョン 前のリビジョン
次のリビジョン		 前のリビジョン
ja:documentation:pandorafms:technical_annexes:rsyslog-audit-forwarding [2026/07/18 22:35] – [Common issues and solutions] junichija:documentation:pandorafms:technical_annexes:rsyslog-audit-forwarding [2026/07/18 22:39] (現在) – [Operational review list] junichi
行 364: 行 364:
 <wrap #ks6_5 /> <wrap #ks6_5 />
  
-==== Re-anchoring the sender ====+==== 送信側のアンカー再設定 ====
  
 To rebuild the audit //stream// from scratch (for example, after a long offline period for the receiver where the local audit //log// has fallen behind), reset the ''imfile'' //state// and confirm that the file still exists in the expected path: To rebuild the audit //stream// from scratch (for example, after a long offline period for the receiver where the local audit //log// has fallen behind), reset the ''imfile'' //state// and confirm that the file still exists in the expected path:
 +
 +監査ストリームをゼロから再構築する場合（例えば、受信側が長期間オフラインになり、ローカルの監査ログの処理が遅延してしまった後など）、''imfile'' の状態（state）をリセットし、対象のファイルが想定されるパスに存在することを確認してください。
  
 <code bash> <code bash>
行 381: 行 383:
  
 After the restart, the sender only sends the lines written **after** the restart. To forward everything from the beginning of the current ''audit.log'', add ''readMode="2"'' to the ''imfile'' input and restart Rsyslog again. After the restart, the sender only sends the lines written **after** the restart. To forward everything from the beginning of the current ''audit.log'', add ''readMode="2"'' to the ''imfile'' input and restart Rsyslog again.
 +
 +再起動後、送信側は再起動**以降**に書き込まれた行のみを送信します。現在の ''audit.log'' の冒頭からすべてを転送するには、''imfile'' 入力に ''readMode="2"'' を追加し、Rsyslog を再度再起動します。
  
 <wrap #ks7 /> <wrap #ks7 />
-===== Operational review list =====+ 
 +===== 作業確認リスト =====
  
   * □ The receiver is online from the sender via ''TCP 10514''.   * □ The receiver is online from the sender via ''TCP 10514''.
行 391: 行 396:
   * □ The receiver's //log// file contains **only** lines with the ''pandora-audit'' //tag// (without ''CROND'' / ''rsyslogd'').   * □ The receiver's //log// file contains **only** lines with the ''pandora-audit'' //tag// (without ''CROND'' / ''rsyslogd'').
   * □ ''systemctl enable rsyslog'' applied on both //hosts// so that forwarding survives a restart.   * □ ''systemctl enable rsyslog'' applied on both //hosts// so that forwarding survives a restart.
 +
 +  * □ 送信元から受信側へ ''TCP 10514'' で接続可能である。
 +  * □ 両端で ''rsyslogd -N1'' を実行し、設定に問題がないことを確認済みである。
 +  * □ 受信側で ''ss -ltn | grep 10514'' を実行すると、''LISTEN'' 状態であることが確認できる。
 +  * □ ''audit.log'' に追加したテスト行が、ポーリング間隔以内に ''/var/log/received/pandora-audit.log'' へ反映される。
 +  * □ 受信側のログファイルには、''pandora-audit'' タグが付いた行**のみ**が含まれている（''CROND'' や ''rsyslogd'' などの行は含まれない）。
 +  * □ 再起動後も転送が継続されるよう、両ホストで ''systemctl enable rsyslog'' が実行されている。
  
 [[ja:documentation:pandorafms:start|Pandora FMS ドキュメント一覧に戻る]] [[ja:documentation:pandorafms:start|Pandora FMS ドキュメント一覧に戻る]]
  
  • ja/documentation/pandorafms/technical_annexes/rsyslog-audit-forwarding.1784414102.txt.gz
  • 最終更新: 2026/07/18 22:35
  • by junichi