Rundeck 3.4.9升级至4.7.0后两类审计日志文件差异咨询

从Rundeck 4.x版本开始新增的rundeck.audit.events.log，和老的rundeck.audit.log核心差异主要在这几个方面：

• 格式差异：

  • 老的rundeck.audit.log是纯文本/半结构化格式，读起来直观，记录用户登录、项目创建这类基础操作的审计信息。
  • 新的rundeck.audit.events.log采用JSON结构化格式输出，每条日志都是标准JSON对象，包含事件ID、时间戳、用户信息、操作类型、资源详情、上下文元数据等字段，专门适配ELK、Splunk这类日志分析系统，方便自动化解析和统计。

• 记录范围：

  • 老日志仅覆盖核心审计动作，满足常规合规检查需求。
  • 新日志扩展了记录粒度，除老日志的内容外，还会记录API调用的详细参数、作业执行的全阶段事件（启动/暂停/完成）、权限变更的具体规则、插件触发的审计动作等细节，其中不少内容是老日志未覆盖的。

• 定位不同：

  • 老日志面向运维人员人工查阅，用于快速排查审计轨迹。
  • 新日志服务于自动化场景，比如实时审计监控、异常行为告警，依靠结构化数据可直接实现高级分析。

• 配置灵活性：
  两者都受Rundeck审计配置管控，但rundeck.audit.events.log可通过log4j2.xml单独调整输出格式、过滤规则，老日志的配置相对固定。

总结：新的rundeck.audit.events.log是老审计日志的结构化增强版，不仅格式更适配机器处理，还包含不少老日志未覆盖的细粒度事件。

内容的提问来源于stack exchange，提问作者manshu