如何检测导致账户锁定的Artifactory登录尝试来源？

Artifactory默认会全量记录所有身份认证请求的相关日志，所有触发账号锁定的失败登录尝试都可以从日志中直接溯源，你可以按以下步骤操作：

1. 访问请求日志筛选失败认证条目 #

Artifactory的全量请求日志默认存放路径为$JFROG_HOME/artifactory/var/log/artifactory-request.log，所有携带身份凭证的请求都会留下完整记录，你可以直接过滤对应你用户名的401/403状态码请求：

grep '你的账号用户名' $JFROG_HOME/artifactory/var/log/artifactory-request.log | grep '401\|403'

过滤结果中会直接包含：

• 请求来源的IP地址
• 请求客户端的UA标识（可区分是Docker、NuGet、PyPi客户端还是脚本、服务调用）
• 请求的具体资源路径
  你可以通过IP直接定位到发起异常请求的设备或服务。

2. 安全审计日志锁定异常事件详情 #

安全日志$JFROG_HOME/artifactory/var/log/security.log会专门记录账号锁定、认证失败的专项事件，你可以用以下命令过滤：

grep '你的账号用户名' $JFROG_HOME/artifactory/var/log/security.log | grep 'LOCKED\|Failed authentication'

记录会明确标注每次失败尝试的时间、来源IP、使用的认证类型（密码/API Key/访问令牌），可以确认是否还有旧的凭据在被调用。

3. 定向排查服务端定时/自动任务 #

如果查到的来源IP是内部服务器地址，优先核对以下场景：

• 所有关联过你账号的CI/CD流水线配置，确认没有硬编码旧API Key
• 服务器上的制品同步脚本、定时拉取任务，检查凭据配置是否更新
• 其他协作者是否将你的旧密钥配置到了公共测试环境、共享服务中

4. 临时开启调试日志定位隐蔽请求 #

如果常规日志无法获取足够信息，你可以临时开启Artifactory的认证调试日志，记录所有认证请求的完整参数，定位到异常来源后及时关闭调试避免磁盘资源被过量占用。

内容的提问来源于stack exchange，提问作者Chris