启用审核日志时不选择详细审核日志选项，即会将系统配置为标准审核日志。

使用标准审核日志，对系统所做的配置更改会记录到单独的日志文件中进行审核。显示在功能配置 GUI 中的“控制中心 - 网络服务”下的 Cisco 审核事件服务，会监控用户对系统所做的任何配置更改，或用户操作导致的任何配置更改。

您可以访问功能配置 GUI 中的审核日志配置窗口以配置审核日志的设置。

标准审核日志包含以下部分：

• 审核日志记录框架 - 框架包含使用警报库将审核事件写入审核日志的 API。定义为 GenericAlarmCatalog.xml 的警报目录适用于这些警报。不同的系统组件提供自己的日志记录。

  以下示例显示 Unified Communications Manager 组件可用于发送警报的 API：

  User ID: CCMAdministratorClient IP Address: 172.19.240.207 Severity: 3 EventType: ServiceStatusUpdated ResourceAccessed: CCMService EventStatus: Successful Description: CallManager Service status is stopped 

• 审核事件日志 - 审核事件代表需要进行记录的任何事件。以下示例显示示例审核事件：

  CCM_TOMCAT-GENERIC-3-AuditEventGenerated: Audit Event Generated UserID:CCMAdministrator Client IP Address:172.19.240.207 Severity:3 EventType:ServiceStatusUpdated ResourceAccessed: CCMService EventStatus:Successful Description: Call Manager Service status is stopped App ID:Cisco Tomcat Cluster ID:StandAloneCluster Node ID:sa-cm1-3 

提示	请注意审核事件日志默认为集中式并启用。称为“系统日志审核”的警报监控将写入日志。默认情况下，将日志配置为轮换。如果 AuditLogAlarmMonitor 无法写入审核事件，AuditLogAlarmMonitor 会将此失败记录为系统日志文件中的严重错误。警告管理器会将此错误作为 SeverityMatchFound 警告的一部分报告。即使事件记录失败，实际操作也会继续。系统将从 Cisco Unified 实时监控工具中的“跟踪和日志中心”收集、查看和删除所有审核日志。

Cisco Unified 功能配置标准事件日志记录

Cisco Unified 功能配置记录以下事件：

• 激活、停用、启动或停止服务。

• 跟踪配置和警报配置更改。

• SNMP 配置更改。

• CDR 管理中的更改。（仅限 Cisco Unified Communications Manager）

• 查看功能配置报告存档中的任何报告。此日志在报告器节点上查看。（仅限 Unified Communications Manager）

Cisco Unified 实时监控工具标准事件登录

Cisco Unified 实时监控工具使用审核事件警报记录以下事件：

• 警告配置

• 警告暂停

• 电子邮件配置

• 设置节点警告状态

• 警告添加

• 添加警告操作

• 清除警告

• 启用警告

• 删除警告操作

• 删除警告

Unified Communications Manager 标准事件日志记录

Cisco CDR 分析和报告 (CAR) 为这些事件创建审核日志：

• 加载程序计划

• 每日、每周和每月报告计划

• 邮件参数配置

• 拨号方案配置

• 网关配置

• 系统首选项配置

• 自动清除配置

• 持续时间、一天中的时间和语音质量的评级引擎配置

• QoS 配置

• 预生成报告配置的自动生成/警告。

• 通知限制配置

Cisco Unified CM 管理标准事件日志记录

以下事件是为 Cisco Unified Communications Manager 管理的各个组件而记录：

• 用户日志记录（用户登录和用户注销）

• 用户角色成员资格更新（添加用户、删除用户、更新用户角色）

• 角色更新（添加、删除或更新新角色）

• 设备更新（电话和网关）

• 服务器配置更新（更改警报或跟踪配置、服务参数、企业参数、IP 地址、主机名、以太网设置和 Unified Communications Manager 服务器添加或删除）

Cisco Unified Communications 自助门户标准事件日志记录

将为 Cisco Unified Communications 自助门户记录用户日志记录（用户登录和用户注销）事件。

命令行界面标准事件日志记录

将记录通过命令行界面发出的所有命令（Unified Communications Manager 和 Cisco Unity Connection 都适用）。

Cisco Unity Connection 管理标准事件日志记录

Cisco Unity Connection 管理会记录以下事件：

• 用户日志记录（用户登录和用户注销）

• 所有配置更改，包括但不限于用户、联系人、呼叫管理对象、网络、系统设置和电话

• 任务管理（启用或禁用任务）

• 批量管理工具（批量创建，批量删除）

• 自定义键盘映射（映射更新）

Cisco Personal Communications Assistant (Cisco PCA) 标准事件日志记录

Cisco Personal Communications Assistant 客户端记录以下事件：

• 用户日志记录（用户登录和用户注销）

• 通过 Messaging Assistant 进行的所有配置更改

Cisco Unity Connection 功能配置标准事件日志记录

Cisco Unity Connection 功能配置记录以下事件：

• 用户登录（用户登录和用户注销）。

• 所有配置更改。

• 激活、停用、启动或停止服务。

使用具象状态传输 (REST) API 的 Cisco Unity Connection 客户端事件日志记录

使用具象状态传输 (REST) API 的 Cisco Unity Connection 客户端记录以下事件：

• 用户日志记录（用户 API 身份验证）。

• 使用 Cisco Unity Connection 预配置接口的 API 呼叫。

Cisco Unified IM and Presence 功能配置标准事件日志记录

Cisco Unified IM and Presence 实时监控工具标准事件日志

Cisco IM and Presence 管理标准事件日志记录

IM and Presence 应用程序标准事件日志记录

命令行界面标准事件日志记录

所有通过命令行界面发出的命令都将被记录。

详细审核日志是一项可选功能，用于记录未存储在标准（默认）审核日志中的附加配置修改。除了在标准审核日志中存储的所有信息外，详细的审核日志还包括添加、更新和删除的配置项目（含修改的值）。默认情况下禁用详细的审核日志，但您可以在审核日志配置窗口中启用它。

系统审核日志跟踪活动（例如创建、修改或删除 Linux OS 用户，篡改日志，更改文件或目录权限）。由于收集的数据量较大，因此默认情况下禁用此类型的审核日志。要启用此功能，必须使用 CLI 手动启用 utils auditd。在启用系统审核日志功能后，您可以从实时监控工具的跟踪和日志中心收集、查看、下载或删除所选的日志。系统审核日志采用 vos-audit.log 的格式。

有关如何启用此功能的详细信息，请参阅《Cisco Unified Communications 解决方案的命令行界面参考指南》。有关如何从实时监控工具访问收集的目录的信息，请参阅《Cisco Unified 实时监控工具管理指南》。

应用程序审核日志监控和记录用户所做的或用户操作导致的任何系统配置更改。

注	应用程序审核日志 (Linux auditd) 只能通过 CLI 启用或禁用。除了通过实时监控工具收集 vos-audit.log 之外，您无法更改此类审核日志的任何设置。

数据库审核日志跟踪与访问 Informix 数据库（例如登录）相关的所有活动。

开始之前

请注意，只有拥有审核角色的用户才可更改审核日志设置。默认情况下，对于 Unified Communications Manager，在全新安装和升级后，CCMAdministrator 拥有审核角色。CCMAdministrator 可以在 Cisco Unified Communications Manager 管理的“用户组配置”窗口中将具有审核权限的任何用户分配给“标准审核用户”组分配。如果想要这样做，您可以从“标准审核用户”组中删除 CCMAdministrator。

对于 IM and Presence Service，在全新安装和升级后，管理员拥有审核角色，并且可以将拥有审核权限的任何用户分配给“标准审核用户”组。

对于 Cisco Unity Connection，在安装过程中创建的应用程序管理帐户具有审核管理员角色，并可以分配其他管理用户到该角色。您也可以从此帐户删除审核管理员角色。

标准审核日志配置角色能够删除审核日志以及读取/更新 Cisco Unified 实时监控工具、IM and Presence 实时监控工具、跟踪收集工具、实时监控工具 (RTMT) 警告配置、功能配置用户界面中的“控制中心 - 网络服务”、RTMT 配置文件保存、功能配置用户界面中的审核配置以及称为审核跟踪的资源。

标准审核日志配置角色能够删除审核日志以及读取/更新 Cisco Unified RTMT、跟踪收集工具、RTMT 警告配置、Cisco Unified 功能配置中的“控制中心 - 网络服务”、RTMT 配置文件保存、Cisco Unified 功能配置中的审核配置以及称为审核跟踪的资源。

Cisco Unity Connection 中的审核管理员角色能够查看、下载和删除 Cisco Unified RTMT 中的审核日志。

有关 Unified Communications Manager 中角色、用户和用户组的信息，请参阅《Cisco Unified Communications Manager 管理指南》。

有关 Cisco Unity Connection 中角色和用户的信息，请参阅《Cisco Unity Connection的用户移动、添加和更改指南》。

有关 IM and Presence 中角色、用户和用户组的信息，请参阅《Unified Communications Manager 上 IM and Presence Service 的配置和管理》。

下表介绍了您可以在Cisco Unified 功能配置的“审核日志配置”窗口中配置的设置。

小心	启用后，数据库日志记录可能会在短时间内生成大量数据，特别是调试审核级别设置为数据库更新或数据库读取时。这可能会对繁忙使用期间的性能造成显著影响。一般情况下，我们建议您保持禁止数据库日志记录。如果您需要启用日志记录以跟踪数据库中的更改，我们建议您使用数据库更新级别仅在短时间内使用。同样，管理日志记录对 Web 用户界面的整体性能也有影响，特别是在轮询数据库条目时（例如，从数据库中轮询 250 台设备）。