docker安全审计日志需分层配置：内核级（auditd）、运行时级（docker 27+ audit-log）、服务级（swarm上下文），并结构化采集、防篡改存储；核心是区分容器应用日志与覆盖内核调用、运行时行为、服务操作三类事件的安全审计日志。

要在 docker engine 安装后配置安全审计日志，不能只依赖 docker logs 或默认的 json-file 驱动——那只是应用日志，不是安全审计日志。真正的安全审计需覆盖内核调用、容器运行时操作和服务级行为三层，且必须防篡改、可追溯。

启用 Docker 27+ 原生运行时审计（核心步骤）

这是最直接、无需修改容器代码的安全审计能力，仅限 Docker 27 及以上版本：

• 编辑 /etc/docker/daemon.json，加入 audit-log 配置（确保 experimental 开启）：

{ "experimental": true, "audit-log": { "path": "/var/log/docker/audit.json", "log-format": "json", "log-level": "info" }, "log-driver": "local", "log-opts": { "max-size": "10m", "max-file": "5", "compress": "true" } }

• 保存后执行 sudo systemctl restart docker
• 重启后，所有 container_create、exec_create、image_pull 等事件将自动以 JSON Lines 格式写入指定路径，含镜像 digest、UID/GID、挂载点、网络模式等关键字段

补全内核级审计：集成 auditd 监控系统调用

Docker 运行时审计不捕获底层系统调用（如 execve、openat），需靠 auditd 补位：

Docker Ctl

使用 podman 检查容器、日志和镜像

下载

• 确认 auditd 已安装并运行：sudo systemctl enable --now auditd
• 添加规则监控容器相关系统调用（写入 /etc/audit/rules.d/docker.rules）：

-a always,exit -F arch=b64 -S clone,fork -F uid!=0 -k docker-container-start -a always,exit -F arch=b64 -S execve -F uid!=0 -k docker-exec -a always,exit -F arch=b64 -S openat -F path=/proc/self/exe -k docker-binary-load

• 重载规则：sudo augenrules --load && sudo systemctl restart auditd
• 日志统一落盘在 /var/log/audit/audit.log，可用 ausearch -k docker-exec 快速检索

增强服务级操作溯源（Swarm 模式适用）

若使用 Swarm 集群，需让 docker service logs 显式携带责任人与上下文：

• 在 /etc/docker/daemon.json 中追加标签透出配置：

{ "log-driver": "json-file", "log-opts": { "labels": "com.docker.swarm.service,com.docker.swarm.task.id,io.docker.audit.user", "env": "USER,HOME" } }

• 重启 Docker 后，执行 docker service logs --timestamps payment-api 即可看到服务名、任务 ID 和触发用户，支撑责任认定

日志落盘与防篡改（合规刚性要求）

审计日志一旦生成，必须防止被删除或覆盖：

• 将 /var/log/docker/audit.json 和 /var/log/audit/audit.log 所在分区设为只读挂载（如 mount -o remount,ro /var/log），或使用专用审计卷
• 部署 logsigner 类工具对每条日志生成 SHA-256 哈希并追加数字签名，密钥由 KMS 托管，私钥永不落盘
• 签名后日志同步至 WORM（Write Once Read Many）对象存储，满足等保2.0三级和 GDPR 的不可抵赖要求