审计安全性基础结构

您可以使用审计设施对可审计事件进行报告和跟踪，以确保系统的完整性。

准备工作

在启用安全性审计子系统之前，必须在环境中启用全局安全性。

有关此任务

注: 安全性审计子系统已作为安全性基础结构的一部分引入。安全性基础结构的主要职责是防止在未经授权的情况下访问和使用资源。利用安全性审计有以下两个主要目标：

确认现有安全性配置的有效性和完整性。
确定安全性配置的可能需要改进的领域。

安全性审计通过提供一种基础结构来实现这些目标，此基础结构允许您编写代码来捕获和存储受支持的可审计安全性事件。在运行时期间，除 Java™ EE 5 应用程序代码以外的所有代码都被视为可信代码。每次 Java EE 5 应用程序访问安全资源时，包含审计点的任何内部应用程序服务器进程都可记录为可审计事件。

安全性审计子系统能够捕获下列类型的可审计事件：

认证
Authorization
主体/凭证映射
审计策略管理
授权

您可以将这些类型的事件记录到审计日志文件中。可以选择对每个审计日志进行签名和加密以确保数据完整性。您可以对这些审计日志文件进行分析，以发现何处违反了现有的安全性机制以及当前安全性基础结构中可能存在的薄弱环节。安全性事件审计记录对于提供可追究性和不可抵赖性证据以及脆弱性分析而言也很有用。安全性审计配置提供了四个缺省过滤器、一个缺省审计服务提供程序和一个缺省事件工厂。缺省实现将写基于二进制文本文件的日志。请使用本主题来定制安全性审计子系统。

过程

启用安全性审计子系统。

除非启用了审计安全性子系统，否则不会执行安全性审计。由于在未同时启用全局安全性的情况下不会进行安全性审计，因此必须启用全局安全性才能使安全性审计子系统正常工作。
将审计员角色指定给一个用户。

用户必须具有审计员角色才能启用和配置安全性审计子系统。对于安全策略管理，要求进行严格的访问控制很重要。创建审计员角色的目的是进行细化，以便允许将审计角色与管理员的权限区分开。最初启用安全性审计时，单元管理员具有审计员特权。如果环境要求分隔特权，那么需要对缺省角色分配进行更改。
创建安全性审计事件类型过滤器。

您可以配置事件类型过滤器，以便只将特定的可审计事件类型记录到审计日志中。通过对所记录的事件类型进行过滤，可以确保只归档那些对环境而言比较重要的记录，从而便于您分析审计记录。
配置审计服务提供者。

审计服务提供程序用于对传递给它的审计数据对象进行格式化，然后再将这些数据输出到存储库中。系统提供了缺省审计服务提供程序实现。请参阅配置缺省审计服务提供程序以进行安全性审计，以获取有关缺省实现的更多详细信息。另外，还可以编码和使用第三方实现。请参阅配置第三方审计服务提供者以进行安全性审计，以获取有关此实现的更多详细信息。
配置审计事件工厂以进行安全性审计。

审计事件工厂收集与可审计事件相关联的数据并创建审计数据对象。然后，将审计数据对象发送到审计服务提供程序，以便进行格式化并记录到存储库中。
保护安全性审计数据。

保护并确保所记录的审计数据的数据完整性至关重要。为了确保限制对数据进行访问和防止篡改，可以对审计数据进行加密和签名。
配置安全性审计子系统故障通知。

可以启用通知，以便在安全性审计子系统发生故障时生成警报。可以将通知配置为将警报记录在系统日志中，也可以将通知配置为通过电子邮件将警报发送给指定的接收方列表。

结果

成功完成本任务之后，将为配置中指定的所选可审计事件记录审计数据。

下一步做什么？

在配置安全性审计之后，您可以分析审计数据以查找当前安全性基础结构中可能存在的薄弱环节以及现有安全性机制中可能存在的安全性违例情况。另外，您还可以使用安全性审计子系统来提供用于确定问题的数据。如果选择了缺省审计服务提供程序，那么可以使用审计阅读器来阅读所生成的二进制审计日志文件。