Pflicht für Prod
Typen: file, syslog,
socket, loggen jeden Request/Response, außer
u.a. sys/init, sys/unseal,
sys/seal, sys/seal-status,
sys/leader, sys/step-down,
sys/rekey/init|update|verify, sys/health;
generate-root wird auditiert. Sensible String-Werte stehen default nur als
HMAC-SHA256-Hash im Log.
Blocking-Verhalten: Kann Vault auf kein aktiviertes Audit Device schreiben, beantwortet es keine Requests mehr, deshalb mindestens zwei Devices unterschiedlichen Typs, eines davon remote.
Im Betrieb: Nach dem Rotieren SIGHUP an Vault
schicken, sonst schreibt Vault in die alte Datei. In Kubernetes file_path=stdout; ein
prefix geht nur mit
allow_audit_log_prefixing in der Server-Config. Alarm
auf vault.audit.log_request_failure.
vault audit enable file \ file_path=/var/log/vault_audit.log