如何通过REST API提取Apache Ranger审计日志及curl调用方法

所有命令请先替换占位符为你环境的实际值：<RANGER_HOST>为Ranger服务部署地址，<RANGER_PORT>默认HTTP端口为6080、HTTPS端口为6182，<RANGER_ADMIN_USER>/<RANGER_ADMIN_PASSWORD>为具备审计查看权限的Ranger账号密码。

• 政策导出审计日志接口（对应/assets/exportAudit）

curl -u <RANGER_ADMIN_USER>:<RANGER_ADMIN_PASSWORD> \
  -H "Accept: application/json" \
  # 加assetType=hdfs过滤HDFS政策审计，startTime/endTime为毫秒级时间戳，适配每日按时间范围提取的需求
  "http://<RANGER_HOST>:<RANGER_PORT>/service/assets/exportAudit?assetType=hdfs&startTime=<起始时间戳>&endTime=<结束时间戳>"

• 审计报表查询接口（对应/assets/report）

curl -u <RANGER_ADMIN_USER>:<RANGER_ADMIN_PASSWORD> \
  -H "Accept: application/json" \
  # reportType指定政策审计类型，日期直接传YYYY-MM-DD格式即可，更适合日粒度导出
  "http://<RANGER_HOST>:<RANGER_PORT>/service/assets/report?reportType=policyAudit&assetType=hdfs&startDate=<YYYY-MM-DD>&endDate=<YYYY-MM-DD>"

测试时可在命令末尾添加-o hdfs_audit.json将结果输出到本地文件，方便校验返回格式是否符合预期。

针对每日批量提取的场景，有几个比直接调用REST API更稳定高效的方案：

• 对接Ranger审计存储：Ranger默认会把全量审计日志写入Solr或MySQL/PostgreSQL等后端存储，直接对接存储做定时查询，支持更大数据量的批量导出，性能远高于调用REST API
• 采集本地审计日志：如果集群部署了Flume、ELK等采集组件，可直接采集Ranger服务本地的审计日志文件（默认路径/var/log/ranger/admin/audit.log），过滤HDFS相关日志后写入目标存储，时效性和可靠性更高
• 统一审计平台集成：如果有企业级统一审计需求，可对接Apache Atlas或商业化大数据安全组件，直接拉取Ranger全量审计信息，自带过滤、统计、报表能力，无需自主开发适配

内容的提问来源于stack exchange，提问作者Francesco_ITA