Иногда ну очень нужно узнать кто же создал или удалил определенный файл с файлового сервера. Стандартный лог-файл, который Samba пишет при настройках по-умолчанию, не позволяет это сделать, так как в него пишутся только события подключения и отключения от общих ресурсов. Пример стандартного лог-файла:
-
[2010/03/05 20:45:00, 1] smbd/service.c:make_connection_snum(1042)
-
host44 (10.44.44.44) connect to service PUBLIC initially as user vasya (uid=503, gid=501) (pid 27070)
-
[2010/03/05 20:47:34, 1] smbd/service.c:close_cnum(1239)
-
host44 (10.44.44.44) closed connection to service PUBLIC
Чтобы лог-файл был более подробным, в smb.conf нужно добавить следующие строки:
-
log level = 0 vfs:2
-
max log size = 0
-
syslog = 0
-
-
[PUBLIC]
-
comment = writeable folder
-
path = /var/spool/samba/public
-
valid users = @admins
-
public = yes
-
writable = yes
-
printable = no
-
vfs objects = full_audit
-
full_audit:prefix = %u|%I
-
full_audit:failure = none
-
full_audit:success = mkdir rmdir open read pread write pwrite sendfile rename unlink lock
-
full_audit:facility = local5
-
full_audit:priority = debug
В параметрах шары все, что касается логирования, перечислено в строках 12-17. В 13-ой строке указываем префикс (логин и IP-адрес клиента). В 15-ой строке перечисляем операции, которые должны подвергаться аудиту (которые будут записываться в лог-файл). В 16-ой и 17-ой строках указываем параметры для syslog. Затем в /etc/syslog.conf добавляем строку
-
local5.debug -/var/log/samba/audit.log
и посылаем syslog-у сигнал HUP чтобы тот перечитал свой конфиг. Знак минуса перед именем файла означает, что после каждой записи в файл не будет выполняться операция sync, а данные некоторое время будут находится в оперативной памяти в дисковом буфере. При большой интенсивности потока записей это уменьшает нагрузку на дисковую систему.
В результате в файле /var/log/samba/audit.log появляются примерно такие записи:
-
Mar 5 21:04:01 serv smbd_audit: vasya|10.44.44.44|pwrite|ok|dir1/somefile.exe
-
Mar 5 21:04:01 serv smbd_audit: ann|10.44.44.92|open|ok|r|dir2/infodept/database.txt
-
Mar 5 21:04:01 serv smbd_audit: editor|10.44.44.34|pread|ok|dir1/somefile.exe
Комментариев: 2
Чтобы быть всегда в курсе здесь происходящего, Вы можете подписаться на RSS feed для комментариев на эту заметку.
Довольно таки находчиво )) У меня как раз на медиасерваке общий доступ к файлообменнику, теперь можно и стату по нему гнать директору на радость )
Спасибо большое за статью. Очень помогло :)