Monopam-Sitzungsverwaltung: Protokolle, Aufzeichnung und Live-Überwachung
Was hat sich geändert
Jede Inhaltsänderung wird versioniert. Wählen Sie eine Version, um sie mit der vorherigen zu vergleichen.
Version 8 → 9
AktualisierungNeues Modul zu Aufzeichnungsspeicher, erzwungener Aufzeichnung externer Sitzungen sowie Zwischenablage- und Terminalverhalten, das am Client entschieden wird. Das Modul enthält jetzt Diagramme und am Ende eine Liste, was zuerst zu prüfen ist.
1 Lektion aktualisiertDauer
Inhaltliche Aktualisierung. Eingeschriebene Lernende wurden benachrichtigt.
Dauer von 16 auf 17 Minuten geändert.
Eine Aufzeichnung entsteht auf dem Gateway, das die Sitzung trägt. Wo sie danach landet, ist eine Planungsentscheidung, die Sie einmal treffen, und zwar besser vor dem ersten Audit als währenddessen.
### Den Aufzeichnungsspeicher planen
| Mandanteneinrichtung | Wo Aufzeichnungen landen | Was Sie dimensionieren müssen |
| --- | --- | --- |
| CDN-Einstellungen vorhanden (S3-kompatibler Objektspeicher wie MinIO oder Amazon S3) | Hochgeladen in den Objektspeicher | Den Bucket, für Sitzungszahl mal Aufbewahrungsdauer |
| Keine CDN-Einstellungen | Sie bleiben auf dem Gateway-Host | Die Platte jedes Gateways |
::diagram pam-recording-path
Objektspeicher ist das Planungsziel: Er wird auf die Aufbewahrung ausgelegt, übersteht den Austausch eines Gateways, und die Aufzeichnungen aller Gateways liegen an einem Ort. SQL-Datenbank und Redis enthalten nie Aufzeichnungen.
Die zweite Zeile ist kein Fehlerzustand, und genau deshalb wird sie leicht übersehen. Sitzungen laufen und werden aufgezeichnet. Das Gateway-Log warnt nur, dass die Sitzung "will be recorded localy but will not uploaded to the CDN", weil keine CDN-Einstellungen existieren. Sehen Sie diese Zeile, konfigurieren Sie das CDN oder akzeptieren Sie, dass die Platte dieses Gateways nun Ihr Archiv ist, und überwachen Sie sie entsprechend.
### Externe Benutzer werden in jedem Fall aufgezeichnet
Die Aufzeichnung lässt sich über die Mandanteneinstellung `Disable Recording`, über eine Richtlinie oder an einer Ressource abschalten. Diese Ausnahmen gelten nicht für **externe Benutzer**. Sitzungen von Dienstleistern und Lieferanten auf aufzeichenbaren Verbindungstypen werden immer aufgezeichnet.
Eine Ressource mit abgeschalteter Aufzeichnung kann also Aufzeichnungen des Dienstleisters zeigen und keine Ihrer eigenen Techniker, und beides ist korrekt. Der einzige Weg, externe Sitzungen der normalen Aufzeichnungsrichtlinie folgen zu lassen, ist die Umgebungseinstellung `MONOPAM_EXTERNAL_FORCE_RECORDING=false`, eine bewusste, installationsweite Entscheidung und nichts, was man ändert, um eine Rückfrage zu beenden.
### Zwei Supportfälle, die am Client entschieden werden
**Einfügen tut im Browser-Terminal nichts.** `Ctrl+V` (oder `Cmd+V`) liest die Zwischenablage über den Browser. Browser erlauben das nur auf einer per HTTPS ausgelieferten Seite und erst, nachdem der Benutzer die Berechtigung erteilt hat. Wurde sie verweigert, bewirkt der Tastendruck nichts, und es erscheint keine Meldung. Der Fehler steht nur in der Entwicklerkonsole des Browsers. Prüfen Sie Adressleiste und Zwischenablage-Berechtigung der Seite, bevor Sie in Monopam suchen.
**Farben stimmen über die SSH-Bastion nicht.** Verbindet sich ein Benutzer mit seinem eigenen SSH-Client, erzeugt die Bastion das Terminal am Ziel mit dem Terminaltyp, den der Client meldet, und reicht die Bytes unverändert durch. Das Gateway hat dafür keine Einstellung. Ein Client, der `xterm` meldet, erhält 8 oder 16 Farben in Werkzeugen, die 256 könnten. Die Lösung liegt im Client: Setzen Sie in PuTTY die Terminaltyp-Zeichenkette auf `xterm-256color`. Dasselbe gilt für Spracheinstellungen: Vom Client gesendete Umgebungsvariablen werden nicht weitergegeben, das Gebietsschema stammt aus dem Profil des Benutzers am Ziel.
> Tipp: Prüfen Sie an einem neuen Gateway drei Dinge vor der ersten echten Sitzung. Sind für den Mandanten CDN-Einstellungen konfiguriert? Enthält das Gateway-Log die Warnung zur lokalen Aufzeichnung? Wenn Aufzeichnungen lokal bleiben, wird diese Platte überwacht? Ein Container-Gateway, das Aufzeichnungen lokal behält, braucht dafür außerdem ein Volume, sonst gehen sie beim Austausch des Containers verloren.