Docker Sandboxes

你组织的策略决定沙箱可以做什么。审计日志告诉你发生了什么：每当策略判定来自受治理开发者的 沙箱请求时，就会有一条记录捕获是谁发起了请求、请求是什么，以及策略的判定结果。你可以在 Docker Home 中查看这些记录、导出它们、转发到你的 SIEM，或者从每台机器上收集它们。

本页说明审计日志记录什么、记录送往何处，以及你可以用它们做什么。

NOTE

审计日志覆盖的是本地沙箱，也就是在开发者机器上运行的沙箱。审计日志不覆盖云端沙箱。 有关云端网络决策，请参阅 云端策略日志。

审计日志记录什么 ​

审计日志覆盖来自 Docker Sandboxes 的两类事件：为每个请求做出的策略决策，以及沙箱会话的 生命周期事件。

记录只包含元数据，例如谁发起了请求、请求的目标是什么，以及策略的判定结果。它们绝不包含 提示内容、智能体输出或参数值。有关记录可能包含的每个字段，请参阅 审计记录参考。

记录只来自你组织所治理的开发者：已登录、拥有 AI Governance 许可证且对其强制执行了组织 策略的用户。其他用户不会产生审计记录，因此不会出现在审计事件或 SIEM 转发输出中。

交付模式 ​

Docker 支持两种审计记录交付模式：

  • 本地磁盘：沙箱 daemon 在每台主机上写入 JSON Lines（.jsonl）文件。主机本地保留、 隔离网络收集，或通过你自己的日志收集器收集时，请使用此模式。
  • Docker Cloud：Docker 把审计记录存储在 Docker Cloud 中。云端交付支撑托管的审计日志 视图、CSV 导出、SIEM 流式传输和 Audit Logs API。

有关为你的组织选择哪些交付模式，请参阅配置审计交付。

记录存储在哪里 ​

使用本地交付时，每台机器上的沙箱 daemon 会把审计记录写入它的审计目录。无论云端交付开启 还是关闭，本地文件都留在生成它们的主机上。

该目录遵循各操作系统对应用程序日志的约定：

操作系统默认路径
macOS~/Library/Logs/com.docker.sandboxes/sandboxes/auditkit/
Linux${XDG_STATE_HOME:-~/.local/state}/sandboxes/sandboxes/auditkit/
Windows%LOCALAPPDATA%\DockerSandboxes\sandboxes\logs\auditkit\

每个文件名为 audit-<utc-timestamp>-<process-uuid>-<seq>.jsonl。daemon 会先把记录写入 临时的 .tmp 文件，然后在达到轮转阈值或正常关闭时把它重命名为 .jsonl。默认阈值为 5 分钟、1000 个事件或 50 MiB，以先到者为准。请只收集 .jsonl 文件，因为 .tmp 文件 仍在写入中。

Docker Sandboxes 绝不会删除 .jsonl 文件，因此保留和清理由你的日志收集器或你自己的日常 维护负责。

你可以用记录做什么 ​

如何使用审计记录取决于它们送往何处：

数据处理 ​

开启云端交付后，Docker 会在 Docker Cloud 中保留审计记录 90 天。有关适用于 Docker 服务的 法律和隐私条款，请参阅 Docker 的服务条款 和隐私政策。