![如何仅将审核日志中的错误转发到 rsyslog 服务器?](https://linux22.com/image/71805/%E5%A6%82%E4%BD%95%E4%BB%85%E5%B0%86%E5%AE%A1%E6%A0%B8%E6%97%A5%E5%BF%97%E4%B8%AD%E7%9A%84%E9%94%99%E8%AF%AF%E8%BD%AC%E5%8F%91%E5%88%B0%20rsyslog%20%E6%9C%8D%E5%8A%A1%E5%99%A8%EF%BC%9F.png)
rsyslog 文档非常不清楚。我只想将审核日志中的错误转发到远程 rsyslog 服务器。示例显示:
# auditd audit.log
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputFileFacility local6
$InputRunFileMonitor
将“InputFileSeverity”设置为信息时,这是否意味着审核日志中的所有条目都将显示为信息(包括错误)?或者,如果我将其设置为“错误”,这是否意味着包括信息在内的所有条目都将显示为错误级别?
我只想看到转发的错误。我觉得我真的缺少如何设置这个简单配置的底层机制。
答案1
假设您使用 rsyslog 的文本文件输入模块,则 InputFileSeverity 参数定义存储在 rsyslog 中的严重性,而不是audit.log 文件中捕获的消息的严重性。文件输入模块不会为您过滤。您应该将auditd配置为仅捕获audit.log文件中的“错误”级别严重性,然后将inputfileseverity设置为错误,并且rsyslog将在错误级别严重性下捕获audit.log中的错误。