3. 日志记录策略配置要点归纳总结
我这些年做KMS审计，发现日志配置是最大的盲区。很多人觉得“日志嘛，打开就行”，结果一查，该记的没记，不该记的占满磁盘，出事了根本查不到。说实话，日志策略配置得怎么样，直接决定审计能不能做、做完有没有用。
3.1 核心要素：哪些日志必须记？
先问自己一个问题：一旦密钥泄露，我需要哪些信息来定位问题？我个人习惯，至少把这6个字段怼进去：
- 事件类型——是创建密钥、轮换密钥、启用/禁用、还是删除？
- 时间戳——精确到毫秒，并且带上时区。我遇到过跨集群时间不一致的情况，那叫一个头疼。
- 用户身份——谁操作的？IAM用户、角色、还是服务账户？
- 操作对象——具体是哪个CMK、哪个别名、哪个密钥版本。
- 操作结果——成功还是失败？失败的话错误码是多少？
- 源IP/来源——从哪个客户端发起的请求，配合VPC流日志能还原全链路。
我的经验法则：少记一个字段，排查的时候就得多花半小时。别赌那个运气。
3.2 日志级别：别什么都记INFO
你想想看，如果把每个CMK的每次Decrypt都记成INFO，一天可能几百万条，存储扛不住，有价值的信息也被淹没了。我建议生产环境按这个表来定：
| 级别 | 使用场景 | 建议 |
|---|---|---|
| ERROR | 密钥操作失败、权限拒绝、加密算法不匹配 | 必须开启，监控告警用 |
| WARN | 接近限额（如KMS请求限流）、过期密钥轮换提醒 | 建议开启，辅助运维 |
| INFO | 密钥创建、启用、禁用、轮换等管理操作 | 审计基线，必须记 |
| DEBUG | 解密/加密详细参数调试 | 只在排查问题时临时开，用完关 |
说白了，管理类操作（CRUD）用INFO，运维类异常用WARN，业务失败用ERROR。DEBUG嘛，给开发自嗨用，别放生产。
3.3 日志格式：统一才能被理解
我曾经接手一个项目，三套KMS集群各自用了不同的日志格式——有的写JSON，有的写CSV，还有写在自定义syslog里的。审计的时候要写三个解析器，累死人。所以我的建议是：全部用JSON，并且固定字段顺序。
放一个我常用的模版，你直接抄：
{
"version": "1.0",
"timestamp": "2025-03-18T14:27:33.456Z",
"eventType": "CreateKey",
"keyId": "cmk-abc12345",
"principal": "user/admin",
"sourceIP": "10.0.1.100",
"result": "Success",
"errorCode": null,
"additionalInfo": {
"keySpec": "SYMMETRIC_DEFAULT",
"origin": "KMS"
}
}小技巧：把所有字段名强制小写驼峰，别混用snake_case和camelCase。不然日志采集端会哭的。
3.4 日志轮转与存储：别让日志撑爆磁盘
嗯，这里要注意。KMS审计日志可能产生很快，特别是高并发的Decrypt操作。我见过一个案例，因为没有配置轮转，3天写满了100GB磁盘，KMS进程直接挂了。那场景，真是灾难。
我的策略：
- 按大小轮转：单个日志文件超过200MB就滚动一下。
- 按时间归档：留最近90天的在线日志，更早的压缩后放到冷存储。
- 设置磁盘水位线：当磁盘使用率超过80%时，自动触发告警。
别踩的坑：不要把KMS审计日志和系统日志混写在同一个文件里。权限隔离很重要，审计日志最好单独写到一个只写不删的目录，由专门的LogCollector读取。
3.5 日志完整性保护：防篡改是底线
审计日志如果不防篡改，那等于没记。攻击者如果拿到了KMS权限，完全可以删掉自己的操作痕迹。
我常用的两种方式：
- 哈希链：每条日志记录前一条的哈希值，篡改一条就会破坏整个链条。
- 数字签名：用独立的HSM或KM对每条日志签名，验证时用对应的公钥。
如果可以，上区块链存证就更好——不过那个成本高，一般企业用哈希链就够了。我建议至少做到HMAC-SHA256对每条日志做完整性校验。
3.6 常见配置误区（我踩过的坑）
这些年见过的坑，分享三个给你：
- 误以为开启了审计日志就万事大吉——其实很多云KMS默认只记录管理操作，数据操作（比如Decrypt）需要额外开启。我曾经查一个泄露事件，发现密钥被频繁调用Decrypt，但审计日志里一条都没有——因为没开数据平面日志。那叫一个尴尬。
- 日志投递到外部系统时不做重试——网络抖动丢日志太常见了，一定要用带缓冲和重试机制的日志代理。
- 忘记定期验证日志完整性——配置了哈希链却从不跑验证脚本，等于白配。我建议每个月随机抽检几条，确认链条没断。
一句话总结：日志记录策略不是“开个开关”那么简单。从选字段、定级别、统格式，到配轮转、做保护、定期验证，每环都得认真对待。只有这样，审计人员来查的时候才能拍着胸脯说：“日志全，可信，没毛病。”
上面这张图是我自己画的决策流程。每次部署新KMS集群，我先走一遍这个流程，确保没有漏项。你完全可以拿去当检查清单。
好了，这一节就这些。把这些配置点吃透，KMS审计日志这块儿基本稳了。