docker镜像仓库日志审计必须分层设计：harbor需启用audit_log.enabled:true并映射持久卷，集成trivy实现推送即扫描，审计日志含user/action/time等字段，支持web/api多维查询，覆盖“谁、何时、对何镜像做了什么、是否安全”。
Docker 镜像仓库的日志审计不能只靠 docker logs 或本地命令日志，必须分层设计：操作行为留痕、镜像内容可信、审计结果可查。核心不在“有没有日志”，而在“日志是否能回答谁、何时、对哪个镜像做了什么、是否安全”。
启用 Harbor 内置审计日志并持久化存储
Harbor 是生产环境中最主流的私有仓库，它原生支持结构化审计日志，但默认配置不自动开启完整记录。
- 编辑
harbor.yml，确保audit_log区块启用：audit_log: enabled: true level: info location: /var/log/harbor/audit.log max_size: 200M max_backup: 10
-
location路径必须映射到宿主机持久卷（如./data/log/audit:/var/log/harbor），否则容器重启后日志丢失。 - 执行
sudo ./install.sh --with-trivy重新部署，启动后用tail -f ./data/log/audit.log实时验证：登录、创建项目、推送镜像等操作应立即生成 JSON 日志条目，含user、action、remote_addr和时间戳。
对接漏洞扫描，让审计覆盖“镜像是否安全”
审计不只是追踪操作，更要判断镜像本身风险。Harbor 集成 Trivy 后，每次推送都会触发扫描，并将结果写入审计流。
- 确认
harbor.yml中trivy段已配置：trivy: skip_update: false insecure: false
- 在 Web 界面进入对应项目 → “配置” → 勾选“每次推送镜像时自动扫描”。
- 推送后，审计日志中会出现
"action":"scan.completed"条目；镜像详情页同步显示 CVE 列表与严重等级（CRITICAL/HIGH），这些数据也纳入审计范围。
用 Web 和 API 快速检索关键行为
日志存下来只是第一步，高效查询才能支撑响应与合规。
- Web 界面：顶部导航栏 → “系统管理” → “审计日志”，支持按以下维度组合筛选：
- 时间范围（精确到秒）
- 操作类型（
push、pull、delete、scan） - 用户名（如
dev-team） - 资源路径（如
project/prod/repositories/nginx）
- API 导出（适合生成月度报告或对接 SIEM）：
curl -u "admin:Harbor12345" \ "https://harbor.example.com/api/v2.0/systemlogs?from=1753718400&to=1753804800&operation=delete"
其中时间戳为 Unix 秒级，
operation=delete可直接定位镜像删除行为——这是追查“谁删了关键镜像”的最可靠来源。
补充：避免仅依赖本地 Docker CLI 日志
Docker 守护进程本身不记录 docker rmi 等命令的执行者身份（只记 UID，难关联到具体账号）。若无 Harbor 类仓库层审计，只能退而求其次：
- 修改
/etc/docker/daemon.json启用 journald 日志驱动：{"log-driver": "journald", "log-level": "info"} - 重启
systemctl restart docker，再用journalctl -u docker | grep rmi查看，但结果仅含进程 UID 和命令字串，无法确认操作人邮箱或工号。
不复杂但容易忽略。
