Configurez l'audit d'ownCloud Enterprise et vérifiez les journaux.

Pour enregistrer les actions des utilisateurs et des administrateurs dans ownCloud Enterprise, installez et activez l'application d'audit réservée aux entreprises, puis redirigez ses admin_auditmessages de journalisation vers un fichier que les administrateurs peuvent protéger et consulter. L'activation de l'application est nécessaire, mais insuffisante : le niveau de journalisation du serveur ownCloud doit être défini sur 1 (Info) ou 0 (Débogage), sauf si une condition de journalisation distincte redirige les messages d'audit vers un fichier dédié.

Sachez quel « journal d'activité » vous avez besoin

L'application Activité et l'application Audit ont des fonctions différentes. Activité correspond au flux d'événements liés aux fichiers et à la collaboration visible par l'utilisateur. L'application Audit d'entreprise enregistre certaines actions des utilisateurs et des administrateurs sous forme d'entrées de journal structurées, destinées à l'analyse et à l'examen opérationnels. L'installation ou la configuration de l'application Activité seule ne permet pas d'activer l'historique d'audit d'entreprise. Si vous souhaitez conserver un historique détaillé des connexions, des opérations sur les fichiers, des modifications de partage, de l'administration des utilisateurs, des modifications d'applications ou des commandes OCC, activez l'application Audit. La documentation actuelle d'audit d'ownCloud Server 11 répertorie ces catégories d'événements.

Vérifié : l’application est réservée aux entreprises et disponible sur la Marketplace ownCloud. Contexte : l’écran de gestion et la méthode de configuration varient selon la version et le déploiement d’ownCloud. Action : vérifiez la version de votre serveur et assurez-vous que votre abonnement Entreprise inclut l’application avant de résoudre un problème d’affichage de l’application. La page de la fonctionnalité d’audit d’ownCloud indique également qu’il s’agit d’une fonctionnalité Entreprise.

Activer l'audit dans ownCloud

1. Vérifiez que l'application est installée. Dans les paramètres de l'application ownCloud, repérez la section « Audit ». Pour ownCloud 10.16, le guide officiel indique de la télécharger depuis le Marketplace et de l'activer dans les paramètres de l'application ; la documentation d'ownCloud 11 indique de l'activer directement depuis le Marketplace. Si l'application est absente, vérifiez les droits d'accès Entreprise, l'accès au Marketplace et la compatibilité de l'application avec votre version de serveur avant d'installer un package.
2. Activez l'application. Accédez à ses paramètres en tant qu'administrateur et vérifiez que l'audit est activé. Selon le déploiement et la version, un administrateur en ligne de commande peut également consulter l'état de l'applicationocc app:list ; utilisez la commande prévue à cet effet occ. Ne présumez pas qu'un flux d'activité de l'interface web indique que l'application d'audit est active.
3. Choisissez l'emplacement des entrées d'audit. Pour une vérification rapide, ownCloud peut les enregistrer dans le fichier standard owncloud.log. Pour les opérations courantes, un fichier d'audit distinct et restreint est plus facile à acheminer vers un collecteur de journaux et à examiner indépendamment.
4. Définissez un niveau de journalisation effectif ou une route dédiée. Conservez le niveau de journalisation général à 1 ou 0 si vous souhaitez que les événements d'audit soient consignés dans le journal standard. Vous pouvez également ajouter une condition basée sur l'ID de l'application admin_auditpour écrire dans un fichier dédié. La syntaxe varie selon que vous utilisez ownCloud 11 dans un conteneur Docker ou une installation PHP 10.16.
5. Générez un événement de test sans conséquence et vérifiez-le. Connectez-vous ou créez un fichier de test temporaire, puis vérifiez la présence d'une nouvelle entrée d'audit dans le journal de destination sélectionné avant de vous fier à la configuration.

Acheminer les enregistrements d'audit vers un fichier séparé

ownCloud Server 11 dans Docker

Le guide ownCloud 11 actuel documente la OWNCLOUD_LOG_CONDITIONSvariable d'environnement. Ajoutez-la à l'environnement Compose du service ownCloud et modifiez le chemin d'accès au fichier pour pointer vers un emplacement permanent disponible dans le conteneur :

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

Cet exemple utilise le chemin de montage des données Docker documenté par ownCloud. Veillez à conserver une valeur JSON valide lors de son ajout au fichier YAML et utilisez le volume monté persistant du déploiement afin qu'un remplacement de conteneur ne supprime pas le journal. Appliquez la modification Compose via votre processus de déploiement habituel, puis vérifiez que le service démarre et que le fichier est créé. La condition distincte enregistre les messages d'audit quel que soit le niveau de journalisation global, conformément au guide d'audit de Server 11 .

Installation PHP du serveur ownCloud 10.16

Pour la configuration PHP 10.16 documentée par ownCloud, ajoutez une log.conditionsentrée au config.phpfichier actif et remplacez le chemin d'accès d'exemple. L'utilisateur du serveur web doit avoir les droits d'écriture sur le fichier cible et son répertoire.

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

Effectuez une sauvegarde config.phpavant toute modification et ne créez pas de doublon log.conditionssi une clé existe déjà. Vérifiez la syntaxe PHP et les permissions des fichiers après la modification. Ne copiez pas le tableau PHP 10.16 dans une variable d'environnement Docker ni la valeur d'environnement JSON du serveur 11 dans un fichier de configuration PHP ; il s'agit d'interfaces de déploiement différentes. Consultez les instructions d'audit officielles d'ownCloud 10.16 .

Ce que la piste d'audit prouve – et ne prouve pas

Vérifié : les événements documentés incluent la connexion et la déconnexion, les opérations de création, suppression et déplacement de fichiers, les modifications de partage, les étiquettes, les commentaires, l’administration des utilisateurs et des groupes, les paramètres utilisateur, l’usurpation d’identité, l’activation d’applications et l’exécution d’OCC. Les entrées comprennent des champs spécifiques à l’événement et sont structurées pour l’analyse ; ownCloud décrit les enregistrements compatibles JSON et les intégrations telles que Splunk. Action : créez un événement de test à partir d’une catégorie que votre équipe doit auditer et vérifiez que l’utilisateur, l’action, l’heure et le contexte du fichier attendus apparaissent.

Idée reçue : l’activation de l’audit ne crée pas automatiquement un admin_audit.logfichier distinct. En réalité, le fichier enregistré par défaut est le journal ownCloud standard, sauf si vous configurez une destination différente. Action : vérifiez le chemin d’accès et le volume du fichier plutôt que de vous fier à l’état d’activation de l’application.

Limite : un journal d’événements ne constitue pas, à lui seul, un programme de conformité complet ni une garantie d’enregistrement de chaque action dans un déploiement personnalisé. Les événements disponibles, la version de l’application, les filtres, le niveau de journalisation et les paramètres de conservation influencent les données consultables. Action : comparez la couverture des événements avec votre politique, définissez les paramètres de conservation et les contrôles d’accès, et transférez les enregistrements importants vers un système de journalisation centralisé et sécurisé si vos exigences imposent une conservation indépendante. Cette dernière recommandation constitue une mesure de sécurité opérationnelle ; la documentation de l’application ownCloud décrit la journalisation des événements et son intégration, et non une certification de conformité légale d’une configuration particulière.

Vérifier l'accès et la collecte en cours

Une fois l'événement de test apparu, vérifiez que le fichier d'audit est conservé après un redémarrage du service ou un remplacement de conteneur, que seuls les administrateurs et les collecteurs de journaux autorisés peuvent le lire et que la rotation des journaux n'empêche pas l'application d'écrire. Si vous utilisez le journal standard, la page d'administration d'ownCloud propose une option « Télécharger le fichier journal ». Si le journal est configuré dans un fichier séparé, la documentation indique de le récupérer manuellement. Conservez l'horodatage, l'acteur, l'action et le chemin de l'événement pour vérifier son bon fonctionnement et consultez à nouveau les journaux après toute mise à jour ou modification de la configuration de la journalisation.