florian.wilde/sshkeyvault
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

docs(anleitung): Kapitel Audit-Log und Syslog-Variablen (#029)

Browse Source 
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
florian.wilde
2026-10-12 16:49:28 +02:00
co-authored by Claude Opus 5.5
parent 461cab1389
commit 7721a9f764
2 changed files with 20 additions and 1 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/anleitung/README.md
+18
View File
@@ -29,6 +29,7 @@ in die Verwaltung.
8. [Personen, Self-Service und Zuweisungsmatrix](#8-personen-self-service-und-zuweisungsmatrix) 8. [Personen, Self-Service und Zuweisungsmatrix](#8-personen-self-service-und-zuweisungsmatrix)
9. [Vorlagen](#9-vorlagen) 9. [Vorlagen](#9-vorlagen)
10. [Private Key anzeigen oder löschen](#10-private-key-anzeigen-oder-löschen) 10. [Private Key anzeigen oder löschen](#10-private-key-anzeigen-oder-löschen)
11. [Audit-Log](#11-audit-log)
--- ---
@@ -196,3 +197,20 @@ Nur Admins, nur nach erneuter Bestätigung: „anzeigen (Re-Auth)“ in der Info
Der Key wird genau einmal ausgeliefert und nirgends zwischengespeichert; jede Anzeige steht im Der Key wird genau einmal ausgeliefert und nirgends zwischengespeichert; jede Anzeige steht im
Protokoll. **Private Key löschen** entfernt ihn endgültig aus sshkv – auf den Hosts bleibt er; neu Protokoll. **Private Key löschen** entfernt ihn endgültig aus sshkv – auf den Hosts bleibt er; neu
ausrollen geht danach nicht mehr. ausrollen geht danach nicht mehr.
## 11. Audit-Log
Jede Aktion steht im **Audit-Log**: Zeitpunkt, Benutzer, Host, Zielbenutzer, Fingerprint, das Diff
der geänderten Datei und das Ergebnis – nie ein Private Key oder Passwort. Einträge lassen sich
weder ändern noch löschen; jeder Eintrag ist per Hash mit seinem Vorgänger verkettet.
![Audit-Log](bilder/protokoll-desktop.png)
- **Filter** nach Zeitraum, Aktionsgruppe, Benutzer, Host, Ergebnis und Freitext; eine Zeile
aufklappen zeigt Diff, Details und Hashes.
- **Kette prüfen** rechnet alle Hashes nach. Wurde eine Zeile an sshkv vorbei in der Datenbank
verändert, zeigt die Seite die erste betroffene Zeile.
- **CSV-Export** mit denselben Filtern (der Export selbst wird protokolliert).
- **Syslog:** Mit `SSHKV_SYSLOG_HOST` geht jeder Eintrag zusätzlich an einen zentralen Syslog-Server
(z. B. für Zabbix) – eine Kopie außerhalb von sshkv.
docs/betrieb/installation.md
+2 -1
View File
@@ -107,6 +107,7 @@ docker compose up -d --build # migrate spielt neue Migrationen ein
|---|---| |---|---|
| `SSHKV_SYNC_CRON` | Zeitplan des Abgleichs (Standard `30 2 * * *`, Europe/Berlin) | | `SSHKV_SYNC_CRON` | Zeitplan des Abgleichs (Standard `30 2 * * *`, Europe/Berlin) |
| `SSHKV_MELDUNG_CRON` | tägliche Zusammenfassung der Benachrichtigungen | | `SSHKV_MELDUNG_CRON` | tägliche Zusammenfassung der Benachrichtigungen |
| `SSHKV_SYSLOG_HOST`/`_PORT`/`_PROTOKOLL` | Kopie des Protokolls an einen Syslog-Server | | `SSHKV_SYSLOG_HOST`/`_PORT`/`_PROTOKOLL` | Kopie des Protokolls an einen Syslog-Server (RFC 5424, UDP oder TCP) |
| `SSHKV_SYSLOG_FACILITY` / `_APPNAME` | Facility (Standard `authpriv`) und App-Name (Standard `sshkv`) |
| `SSHKV_WORKER_USER` | Benutzer des Worker-Containers, falls die Master-Key-Datei nicht UID 1001 gehört | | `SSHKV_WORKER_USER` | Benutzer des Worker-Containers, falls die Master-Key-Datei nicht UID 1001 gehört |
| `SSHKV_BIND` / `SSHKV_PORT` | Bindeadresse/Port der Weboberfläche (Standard `127.0.0.1:3400`) | | `SSHKV_BIND` / `SSHKV_PORT` | Bindeadresse/Port der Weboberfläche (Standard `127.0.0.1:3400`) |