1. CA日志概述
各位好，我是做CA系统运维和日志平台建设的。今天咱们聊聊CA日志的基础。
你想想看，一个CA系统每天签发成千上万张证书，处理各种证书申请、吊销、更新。如果日志没管好，出事了根本查不了。我个人习惯，接手任何CA系统，第一件事就是看日志体系——日志类型全不全、存多久、能不能审计。
说实话，很多人觉得CA日志就是记录个操作，没什么特别的。但我见过一次事故：某CA节点证书过期没人发现，所有依赖它的系统全崩了。查日志才发现，告警日志根本没收集上来。你看，日志不是小事。
1.1 CA系统日志类型
CA系统的日志，按我的经验可以分为四大类。嗯，咱们先看一个总览表：
| 日志大类 | 典型来源 | 主要内容 | 日志级别示例 |
|---|---|---|---|
| 操作审计日志 | CA管理界面、API | 管理员登录、证书签发、吊销、策略修改 | INFO, WARN, ERROR |
| 系统运行日志 | OS、中间件、数据库 | 服务启停、OOM、磁盘满、网络中断 | INFO, WARNING, CRITICAL |
| 安全审计日志 | 密钥管理模块、HSM | 密钥生成/使用、访问控制、异常访问 | NOTICE, ALERT, EMERGENCY |
| 应用性能日志 | Web服务器、CA核心进程 | 响应时间、事务量、QPS、错误码 | TRACE, DEBUG, INFO |
这张表是我根据多个项目总结的。实际操作中，你得把每类日志的格式、轮转策略、保留周期都定义清楚。我曾经碰到过一个奇葩情况：某CA的操作审计日志居然用了C:\ca_logs这种路径，磁盘满了也没告警。嗯，后来我们强制所有日志路径挂到独立卷。
1.2 日志重要性
CA日志到底多重要？我简单列三点：
- 合规需求——等保、密评、PCI DSS都要求CA日志至少保留6个月，很多金融客户要求3年以上。没有日志，合规直接挂。
- 故障排查——CA挂了，你怎么定位？我记得有次一个OCSP响应超时，查了半天发现是数据库连接池耗尽。如果没有慢查询日志和连接池监控日志，根本不知道原因。
- 安全回溯——一旦私钥泄露或证书被滥用，日志就是唯一证据。我经手过一个案例：一个内部员工用管理员账号偷偷签了100多张证书，最后是通过操作审计日志里的IP、操作时间和证书序列号序列把那个人揪出来的。
重点提醒：CA日志不是“有就行”，必须保证不可篡改（写前先计算哈希）、时序准确（NTP同步）、集中存储（防单点丢失）。我习惯在日志进入集中采集前就打上数字签名，这样就算日志服务器被黑，原始日志也能验真。
1.3 审计需求
审计需求说白了就是：你要能回答“谁、在什么时间、通过哪个终端、对哪个证书、做了什么操作、结果如何”。我见过很多CA的审计日志字段不全，最关键的一次，问“谁吊销了这张证书？”——日志只记录了“执行吊销”，没有操作员账号。这种日志等于废纸。
典型的审计字段，我整理了一个清单：
- 时间戳（精确到毫秒，时区统一为UTC）
- 操作主体（用户ID、客户端IP、会话ID）
- 操作对象（证书序列号、CRL编号、策略ID）
- 操作类型（签发、吊销、更新、查询、导出）
- 操作结果（成功/失败+错误码）
- 原始请求（如果涉及API，保存完整的请求报文）
避坑指南：我曾经在一个项目里发现，CA的审计日志和业务日志混在一个文件里，导致审计提取时非常困难。后来我坚持要求审计日志单独文件、单独轮转、单独索引。另外，审计日志的权限要严格控制——不能删、不能改，只能追加。我们当时用了syslog-ng加tls加密传输，每天凌晨自动打包并上传到对象存储，同时记录本地一份。
为什么要强调集中存储？因为分布式CA节点可能跨机房、跨地域。一旦某个机房断电，日志没集中采集就全丢了。我见过最痛的情况：一个重要补丁导致CA服务崩溃，结果本地日志文件在重启时被覆盖了……从那以后我强制所有日志先通过logstash或fluentd转发到远端集群，本地只保留24小时热路径。
小技巧：审计日志的保留时长建议做分层：
- 热存储（ES集群）：最近30天，支持秒级查询
- 温存储（对象存储）：30天～1年，支持小时级恢复
- 冷存储（磁带/归档）：1年以上，用于合规抽查
这样成本可控，又能满足审计要求。
本章知识结构
下面这张图把CA日志的核心逻辑串起来了。我个人很喜欢这种分层视图——你看，从产生、采集、存储到审计，每一步都不能断层。
讲到这里，你应该对CA日志的整体分类和审计要求有了一个清晰的框架。后面几章咱们会具体讲采集方案、传输加密、存储架构……嗯，今天先到这里。记住：日志是CA系统的黑匣子，丢了就完了。