Requêtes de journaux d'audit

Prérequis

Avant de télécharger les journaux d'audit pour Apps dans la configuration d'Automation Suite, les conditions suivantes doivent être remplies :

• You must have access to the machine or virtual machine (VM) where UiPath® services are hosted.

Facultativement, vous devez connaître les éléments suivants :

• Nom de l'organisation pour laquelle les journaux d'audit sont nécessaires (<orgName>).
• E-mail de l'utilisateur pour lequel les journaux d'audit doivent être exportés ou supprimés (<userEmail>).
• Nombre de jours entre le moment actuel et le jour auquel vous souhaitez obtenir ou supprimer les journaux d'audit pour (<numDays>).

Obtenir des requêtes de journaux d'audit

db.getCollection("audit-logs").find({
    __tenantId: '<orgName>',
    'userInfo.userEmail': '<userEmail>',
    timestamp: {
        $lte: (new Date().getTime() - 86400000 * <numDays>)
    }
});

Par exemple, pour obtenir des journaux d'audit datant de plus de 180 days pour une organisation nommée sampleOrg avec l'adresse e-mail de l'utilisateur [e-mail], exécutez la requête suivante :

db.getCollection("audit-logs").find({
    __tenantId: 'sampleOrg',
    'userInfo.userEmail': '[e-mail]',
    timestamp: {
        $lt: (new Date().getTime() - 86400000 * 180)
    }
});

Suppression des journaux d'audit

db.getCollection("audit-logs").deleteMany({
    __tenantId: '<orgName>',
    'userInfo.userEmail': '<userEmail>',
    timestamp: {
        $lte: (new Date().getTime() - 86400000 * <numDays>)
    }
});

Par exemple, pour supprimer les journaux d'audit qui datent de plus de 180 days pour une organisation nommée sampleOrg avec l'adresse e-mail de l'utilisateur [e-mail], exécutez la requête suivante :

db.getCollection("audit-logs").deleteMany({
    __tenantId: 'sampleOrg',
    'userInfo.userEmail': '[e-mail]',
    timestamp: {
        $lt: (new Date().getTime() - 86400000 * 180)
    }
});

Procédure

1. Ouvrez une invite de commande ou Powershell.
2. Connectez-vous en SSH à la machine virtuelle à l'aide de la commande ci-dessous.

   ssh <user>@<host>
   user@host's password: <password>

3. Accédez à l'utilisateur root à l'aide de la commande ci-dessous.

   sudo su

4. Accédez au dossier racine à l'aide de la commande ci-dessous.

   cd /

5. Exportez KUBECONFIG à l'aide de la commande ci-dessous.

   export KUBECONFIG=/etc/rancher/rke2/rke2.yaml PATH=$PATH:/var/lib/rancher/rke2/bin

6. Obtenez l'URI MongoDB à l'aide de la commande ci-dessous.

   kubectl -n mongodb get secrets/mongo-admin-user --template={{.data.MONGODB_URI}} | base64 -d
   // copy and store the output till '/admin' (as highlighted in screenshot) for further use in next commands

   
   

   

   
   
7. Accédez au shell de Mongo Replica Set à l'aide de la commande ci-dessous.

   kubectl -n mongodb exec -it mongodb-replica-set-0 bash

8. Récupérez les enregistrements d'audit à l'aide de la commande ci-dessous.

   mongo '<mongodb-uri>' --tls --tlsCAFile /var/lib/tls/ca/ca.crt --quiet << EOF > /data/audit-fetch-query.json
   use appstudio
   db.getCollection("audit-logs").find({"__tenantId": "<orgName>", "userInfo.userEmail": "<userEmail>", "timestamp": {\$lte: (new Date().getTime() - 86400000 * <numDays>)}}).toArray()
   EOF

9. Supprimez les enregistrements d'audit à l'aide de la commande ci-dessous.

   mongo '<mongodb-uri>' --tls --tlsCAFile /var/lib/tls/ca/ca.crt --quiet << EOF > /data/audit-delete-query.json
   use appstudio
   db.getCollection("audit-logs").deleteMany({"__tenantId": "<orgName>", "userInfo.userEmail": "<userEmail>", "timestamp": {\$lte: (new Date().getTime() - 86400000 * <numDays>)}})          
   EOF

10. Quittez le Pod Shell à l'aide de la commande ci-dessous.

    exit

11. Importez les fichiers du pod vers la machine virtuelle à l'aide de la commande ci-dessous.

    kubectl -n mongodb exec -i mongodb-replica-set-0 -- sh -c 'cat /data/audit-fetch-query.json' > audit-fetch-query.json
    kubectl -n mongodb exec -i mongodb-replica-set-0 -- sh -c 'cat /data/audit-delete-query.json' > audit-delete-query.json

12. Quittez la machine virtuelle à l'aide de la commande ci-dessous.

    // exit the root user
    exit
    // exit the vm
    exit

13. Importez les fichiers de la machine virtuelle vers la machine personnelle à l'aide de la commande ci-dessous.
    Remarque : SCP peut ne pas s'exécuter sur certains PowerShells et peut avoir besoin d'être installé.

    scp <user>@<host>:/audit-fetch-query.json .
    user@host's password: <password>
    
    scp <user>@<host>:/audit-delete-query.json .
    user@host's password: <password>