把 Docker AI Governance 审计事件发送到你的安全信息与事件管理 (SIEM) 系统，让 Docker 治理数据与其他安全信号集中在一起。具体做法取决于你的审计记录交付到哪里：
- 使用云端交付时，Docker 把事件直接转发到受支持的 SIEM 目标。
- 使用本地交付时，由你自己的日志收集器从每台机器上收集审计文件。
从 Docker Cloud 转发事件
Docker 把审计事件从 Docker Cloud 转发到你在 Docker Home 中添加的 SIEM 目标。
受支持的目标
| 目标 | 连接方式 | 你需要准备 |
|---|---|---|
| Splunk Cloud | HTTP Event Collector (HEC) | HEC 摄取 URL 和一个 HEC 令牌。可选地填写 Splunk 索引名称。 |
| Dynatrace | Log Ingest API | Log Ingest API URL 和一个拥有 logs.ingest 范围的 API 令牌。 |
| Datadog | HTTP log intake API | 你 Datadog 站点的 Logs 摄取 URL 和一个 API 密钥。 |
| Sumo Logic | HTTP Source | HTTP Source URL，以及来自 HTTP Logs & Metrics 源的认证令牌。 |
| CrowdStrike Falcon Next-Gen SIEM | HEC / HTTP Event Connector | 连接器的 API URL 和一个 API 密钥。添加时请在 API URL 后追加 /raw。 |
开始之前
你需要组织 owner 访问权限，或带有 AI Governance 审计权限的 自定义角色。
SIEM 转发要求为你的组织启用云端交付。如果还没有启用，请在配置 SIEM 目标之前，在 AI Platform > Audit logs > Audit delivery 下开启它。更多细节请参阅 配置审计交付。
准备好目标所需的终结点 URL 和凭据，它们列在「受支持的目标」中。有些目标需要你先创建 连接器或源。
添加 SIEM 目标
- 登录 Docker Home 并选择你的组织。
- 进入 AI Platform > Audit logs。
- 打开 Export & Connectors。
- 选择 Add destination。
- 选择你的目标并填写表单。
- 选择 Save。
Docker 在保存前会使用提供的凭据验证终结点是否可达。如果验证失败，请检查 URL 和凭据是否 正确，以及该终结点是否可以从公网访问。
编辑或删除目标
在 SIEM forwarding 列表中，选择目标旁边的菜单即可编辑或删除它。编辑表单让你更新凭据， 并开关该目标的转发。删除目标会永久移除终结点及其已保存的凭据，且无法撤销。
用日志收集器收集本地审计文件
使用本地交付时，每台机器会把审计记录写入自己审计目录中的 .jsonl 文件。有关各操作系统上 的目录以及文件命名方式，请参阅记录存储在哪里。
把你的日志收集器指向审计目录，并配置为只收集 .jsonl 文件。Splunk Universal Forwarder、 Filebeat 和 CrowdStrike Falcon LogScale 等工具会读取该目录，并把每一行作为一个事件转发。 由于写入中的记录在最终完成之前都存放在 .tmp 文件中，收集器不会看到不完整的记录。