linux - 适合awslogs的datetime_format配置上传audit.log

Question

我正在配置适用于 Linux (RHEL) 的 AWS CloudWatch 客户端，以将所有重要日志上传到 CloudWatch。我坚持为 audit.log 配置客户端部分。我不断收到消息

...回退到当前时间...原因:无法解析时间戳...

我认为日志文件的格式(系统默认)不适合awslogs 客户端解析。我最好的行动方案是什么？有没有办法为审计日志文件配置 awslogs 客户端，或者我应该更改审计日志文件的格式以更好地满足 awslogs 的期望？

Answer 1

audit.log 条目如下所示:

type=ADD_USER msg=audit(1539364777.590:6): pid=2710 uid=0 auid=4294967295 ses=4294967295 msg='op=adding user id=500 exe="/usr/sbin/useradd" hostname=? addr=? terminal=? res=success'

带有句点和冒号的数字是纪元和审计ID。审核 ID 可能会在文件中重复。

不幸的是，strftime 没有标准的纪元格式(有 %s，但它不在规范中并且在 python 中不受支持)。而 cwlogs.parser.DateTimeParser 没有解决方法。而且 cwlogs.util.epoch() 永远不会对原始格式起作用。呜呜。

因此，您需要使用 awslogs 默认发送带有当前时间(而不是日志时间)的条目。