云搜索提供控制面和数据面两类审计日志。控制面审计默认启用，由操作审计服务记录事件；而数据面审计日志需要手动启用，通过内置插件记录数据访问事件到实例本身。本文介绍如何启用数据面审计。 * 对于 ES 实例，内置系统插件为`opendistro_security`。 * 对于 OpenSearch 实例，内置系统插件为`opensearch-security`。 ## 注意事项 * 目前仅 `7.10.2` 版本的 ES 实例和 `2.9.0` 版本的 OpenSearch 实例支持安全审计功能。 * 启用数据面审计后，审计日志索引的数据会占用实例存储空间，并且提取审计事件会产生少量计算开销，在一定程度上增加读写延迟，影响读写性能。请根据业务需求评估是否启用数据面审计功能。 * 实例首次启用数据面审计，会触发实例滚动重启，建议您在业务低峰期启用数据面审计功能。非首次开启、关闭实例不会触发实例重启和更新。 * 仅限选择已支持审计功能的实例，审计功能会占用额外的资源，推荐创建新实例专门用于存储审计日志。 * 修改转存实例时，当前集群会重启，建议低峰时间操作。 * 建议为实例配置监控告警，超过阈值及时升级配置。关于配置监控告警的详细信息，请参见[一键配置告警](/docs/6465/1359458)和[推荐配置的告警规则](/docs/6465/1219834)。 ## 前提条件您在启用数据面审计前，请确保系统参数 `ActionAutoCreateIndex` 设置为 `true`，否则将会阻塞数据面审计索引的自动分区。如何配置`ActionAutoCreateIndex`参数，请参见[修改参数配置](/docs/6465/1117810)。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/7b3a4860ca17469cb9d71e1cfa6416d2~tplv-goo7wpa0wc-image.image =500x) ## 启用数据面审计 1. 登录[云搜索服务控制台](https://console.volcengine.com/es)。 2. 在顶部导航栏，选择目标项目和地域。 3. 在**实例列表 v2**页面，单击目标实例名称，进入实例详情页。 4. 在实例详情的左侧导航栏选择**可观测 \> 安全审计**，然后在**数据面审计**区域打开功能开关按钮。 5. 在弹出的**启用数据面审计**窗口中，选择**转存到实例**后，单击**确定**。 :::tip 仅限选择已支持审计功能的实例。由于审计功能会占用额外的资源，推荐创建新实例专门用于存储审计日志。 ::: ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/c97307dd7ae8408b820efa600553ddf9~tplv-goo7wpa0wc-image.image =594x) 6. 查看实例状态。单击**确定**后，实例的运行状态会切换为为**更新中。当实例状态再次切换为运行中**时，表示数据面审计功能启用成功。 ## 其他操作 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/77bf25f148d94669ac4abbadef4bc0d0~tplv-goo7wpa0wc-image.image =1026x) 数据面审计功能启用后，支持以下操作： * **关闭数据面审计** 关闭数据面审计不会触发实例重启和更新。 * **配置审计参数** 启用数据面审计后，在**数据面审计**页面增加了`AuditOpenDays`和`AuditKeepDays`两个参数，用于控制数据面审计日志索引的打开天数和保存天数。如需修改参数配置，请参见[控制审计日志索引生命周期](/docs/6465/1175090)。 * **修改转存实例** 存储审计日志的实例支持修改。在数据面审计区域单击**修改转存实例**，在弹出的**修改转存实例**窗口中选择新的转存实例后单击**确定**，即可完成转存实例的修改。 * **查看审计日志** 在**数据面审计**页面，展示了实例当前的的审计日志列表。关于查看数据面审计日志的详细信息，请参见[在云搜索控制台查看审计日志](/docs/6465/1175082#47f30a39)。