Audit log field reference

원문 보기 위키 갱신 2026.10.14

출처: 문서

본문

감사 로그 필드 참조

이 페이지에는 모든 감사 로그 필드에 대한 설명이 담겨 있어요.

공통 속성

다음 속성들은 레이어와 무관하게 모든 이벤트 카테고리에 대해 기록돼요.

이름	설명
`audit_format_version`	감사 로그 메시지 형식의 버전이에요.
`audit_category`	감사 로그 카테고리예요. 값에는 `FAILED_LOGIN`, `MISSING_PRIVILEGES`, `BAD_HEADERS`, `SSL_EXCEPTION`, `OPENSEARCH_SECURITY_INDEX_ATTEMPT`, `AUTHENTICATED`, `GRANTED_PRIVILEGES`, `CLUSTER_SETTINGS_CHANGED`, `INDEX_SETTINGS_CHANGED`가 있어요.
`audit_node_id`	이벤트가 생성된 노드의 ID예요.
`audit_node_name`	이벤트가 생성된 노드의 이름이에요.
`audit_node_host_address`	이벤트가 생성된 노드의 호스트 주소예요.
`audit_node_host_name`	이벤트가 생성된 노드의 호스트명이에요.
`audit_request_layer`	이벤트가 생성된 레이어예요. TRANSPORT 또는 REST 중 하나예요.
`audit_request_origin`	이벤트가 비롯된 레이어예요. TRANSPORT 또는 REST 중 하나예요.
`audit_request_effective_user_is_admin`	요청이 TLS admin 인증서로 만들어진 경우 true, 그렇지 않으면 false예요.

REST FAILED_LOGIN 속성

REST 레이어의 로그인 실패 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_rest_request_path`	REST 엔드포인트 URI예요.
`audit_rest_request_params`	HTTP 요청 파라미터예요(있는 경우).
`audit_rest_request_headers`	HTTP 헤더예요(있는 경우).
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_rest_request_method`	HTTP 요청 메서드예요.

REST AUTHENTICATED 속성

REST 레이어의 인증 성공 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_rest_request_path`	REST 엔드포인트 URI예요.
`audit_rest_request_params`	HTTP 요청 파라미터예요(있는 경우).
`audit_rest_request_headers`	HTTP 헤더예요(있는 경우).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_rest_request_method`	HTTP 요청 메서드예요.

REST SSL_EXCEPTION 속성

REST 레이어의 SSL 예외 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_request_exception_stacktrace`	SSL 예외의 스택 트레이스예요.

REST BAD_HEADERS 속성

REST 레이어의 잘못된 헤더 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_rest_request_path`	REST 엔드포인트 URI예요.
`audit_rest_request_params`	HTTP 요청 파라미터예요(있는 경우).
`audit_rest_request_headers`	HTTP 헤더예요(있는 경우).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).

Transport FAILED_LOGIN 속성

transport 레이어의 로그인 실패 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_trace_task_id`	요청의 ID예요.
`audit_transport_headers`	요청의 헤더예요(있는 경우).
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_transport_request_type`	요청 타입이에요(예: `IndexRequest`).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_trace_indices`	요청에 포함된 인덱스 이름이에요. 와일드카드, 날짜 패턴, 별칭을 포함할 수 있어요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_resolved_indices`	요청의 영향을 받는, 확인된 인덱스 이름이에요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_doc_types`	요청의 영향을 받는 문서 타입이에요. `resolve_indices`가 true일 때만 기록돼요.

Transport AUTHENTICATED 속성

transport 레이어의 인증 성공 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_trace_task_id`	요청의 ID예요.
`audit_transport_headers`	요청의 헤더예요(있는 경우).
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_transport_request_type`	요청 타입이에요(예: `IndexRequest`).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_trace_indices`	요청에 포함된 인덱스 이름이에요. 와일드카드, 날짜 패턴, 별칭을 포함할 수 있어요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_resolved_indices`	요청의 영향을 받는, 확인된 인덱스 이름이에요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_doc_types`	요청의 영향을 받는 문서 타입이에요. `resolve_indices`가 true일 때만 기록돼요.

Transport MISSING_PRIVILEGES 속성

transport 레이어의 권한 누락 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_trace_task_id`	요청의 ID예요.
`audit_trace_task_parent_id`	이 요청의 부모 ID예요(있는 경우).
`audit_transport_headers`	요청의 헤더예요(있는 경우).
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_transport_request_type`	요청 타입이에요(예: `IndexRequest`).
`audit_request_privilege`	요청에 필요한 권한이에요(예: `indices:data/read/search`).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_trace_indices`	요청에 포함된 인덱스 이름이에요. 와일드카드, 날짜 패턴, 별칭을 포함할 수 있어요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_resolved_indices`	요청의 영향을 받는, 확인된 인덱스 이름이에요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_doc_types`	요청의 영향을 받는 문서 타입이에요. `resolve_indices`가 true일 때만 기록돼요.

Transport GRANTED_PRIVILEGES 속성

transport 레이어의 권한 부여 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_trace_task_id`	요청의 ID예요.
`audit_trace_task_parent_id`	이 요청의 부모 ID예요(있는 경우).
`audit_transport_headers`	요청의 헤더예요(있는 경우).
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_transport_request_type`	요청 타입이에요(예: `IndexRequest`).
`audit_request_privilege`	요청에 필요한 권한이에요(예: `indices:data/read/search`).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_trace_indices`	요청에 포함된 인덱스 이름이에요. 와일드카드, 날짜 패턴, 별칭을 포함할 수 있어요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_resolved_indices`	요청의 영향을 받는, 확인된 인덱스 이름이에요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_doc_types`	요청의 영향을 받는 문서 타입이에요. `resolve_indices`가 true일 때만 기록돼요.

Transport SSL_EXCEPTION 속성

transport 레이어의 SSL 예외 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_request_exception_stacktrace`	SSL 예외의 스택 트레이스예요.

Transport BAD_HEADERS 속성

transport 레이어의 잘못된 헤더 이벤트에 대해서는 다음 속성들이 기록돼요.

이름	설명
`audit_trace_task_id`	요청의 ID예요.
`audit_trace_task_parent_id`	이 요청의 부모 ID예요(있는 경우).
`audit_transport_headers`	요청의 헤더예요(있는 경우).
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_transport_request_type`	요청 타입이에요(예: `IndexRequest`).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_trace_indices`	요청에 포함된 인덱스 이름이에요. 와일드카드, 날짜 패턴, 별칭을 포함할 수 있어요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_resolved_indices`	요청의 영향을 받는, 확인된 인덱스 이름이에요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_doc_types`	요청의 영향을 받는 문서 타입이에요. `resolve_indices`가 true일 때만 기록돼요.

Transport opensearch_SECURITY_INDEX_ATTEMPT 속성

요청이 OpenSearch 보안 인덱스에 접근하려고 시도할 때 다음 속성들이 기록돼요.

이름	설명
`audit_trace_task_id`	요청의 ID예요.
`audit_transport_headers`	요청의 헤더예요(있는 경우).
`audit_request_effective_user`	인증에 실패한 사용자 이름이에요.
`audit_request_initiating_user`	요청을 시작한 사용자예요. effective user와 다를 때만 기록돼요.
`audit_transport_request_type`	요청 타입이에요(예: `IndexRequest`).
`audit_request_body`	HTTP 요청 본문이에요(있는 경우, 그리고 요청 본문 로깅이 활성화된 경우).
`audit_trace_indices`	요청에 포함된 인덱스 이름이에요. 와일드카드, 날짜 패턴, 별칭을 포함할 수 있어요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_resolved_indices`	요청의 영향을 받는, 확인된 인덱스 이름이에요. `resolve_indices`가 true일 때만 기록돼요.
`audit_trace_doc_types`	요청의 영향을 받는 문서 타입이에요. `resolve_indices`가 true일 때만 기록돼요.

Transport CLUSTER_SETTINGS_CHANGED 속성

클러스터 설정이 변경되면 다음 속성들이 기록돼요.

이름	설명
`audit_request_effective_user`	설정을 변경한 사용자예요.
`audit_transport_request_type`	요청 타입이에요(예: `ClusterUpdateSettingsRequest`).
`audit_transport_action`	transport 액션이에요(예: `cluster:admin/settings/update`).
`audit_settings_changes`	설정 변경 객체들의 배열이에요. 각 객체에는 `setting`, `old_value`, `new_value`, `operation`, `scope`가 들어 있어요. 민감한 설정은 자동으로 가려져요.

audit_settings_changes의 각 객체에는 다음 필드들이 들어 있어요.

이름	설명
`setting`	전체 설정 이름이에요(예: `cluster.max_shards_per_node`).
`old_value`	설정의 이전 값이에요. 이전에 설정되어 있지 않았다면 `null`이에요.
`new_value`	설정의 새 값이에요. 설정이 제거되었다면 `null`이에요.
`operation`	`set`(값이 할당됨) 또는 `removed`(값이 기본값으로 초기화됨) 중 하나예요.
`scope`	`persistent`(재시작 후에도 유지됨) 또는 `transient`(재시작하면 사라짐) 중 하나예요.

Transport INDEX_SETTINGS_CHANGED 속성

인덱스 설정이 변경되면 다음 속성들이 기록돼요.

이름	설명
`audit_request_effective_user`	설정을 변경한 사용자예요.
`audit_transport_request_type`	요청 타입이에요(예: `UpdateSettingsRequest`).
`audit_transport_action`	transport 액션이에요(예: `indices:admin/settings/update`).
`audit_trace_indices`	요청에 포함된 인덱스 이름이에요. 와일드카드와 별칭을 포함할 수 있어요.
`audit_trace_resolved_indices`	요청의 영향을 받는, 확인된 실제 인덱스 이름이에요.
`audit_settings_changes`	설정 변경 객체들의 배열이에요. 각 객체에는 `setting`, `old_value`, `new_value`, `operation`, `scope`가 들어 있어요. 민감한 설정은 자동으로 가려져요.