Kyvernon

Werkwijze Voor: beheerders

Sessies en audit

Bekijk wie is aangemeld en beëindig sessies, lees en filter het auditlogboek, exporteer het en leer hoe lang records worden bewaard.

Een sessie is de periode waarin een aangemelde gebruiker of tokenhouder Kyvernon mag aanroepen. Het auditlogboek legt vast wie wat heeft gewijzigd en welke aanmeldingen zijn mislukt. De sessielijst vereist Sessions.TerminateSession of Kyvernon.Identity.ManageUsers, en het auditlogboek vereist Global.Diagnostics; een scherm dat u niet mag gebruiken, wordt niet aangeboden in het beheergedeelte.

In de console

Een sessie beëindigen

  1. Open het Gebruikersmenu rechtsboven, selecteer Beheer en selecteer in de lijst links Sessies.

    Actieve sessies met clientadres en vervaltijd (Groter weergeven)

    De tabel toont iedereen die is aangemeld, in de console of via een API-token: Gebruiker, Soort, Clientadres, Gestart, Laatst actief en Verloopt. De sessie die u gebruikt, is gemarkeerd met Uw sessie, en een noodsessie (break-glass) draagt de badge Noodtoegang. Sessies filteren beperkt de lijst op gebruiker of adres.

  2. Selecteer Sessie beëindigen in een rij om die sessie af te melden, of Alle van de gebruiker beëindigen om alle sessies van de gebruiker te beëindigen. Bevestig het dialoogvenster.

Beëindig alle sessies van een gebruiker na een wachtwoordreset of wanneer een account mogelijk wordt misbruikt. Als u de sessie beëindigt die u zelf gebruikt, wordt u afgemeld bij de console. Een uitgeschakelde gebruiker, een gebruiker die een serviceaccount wordt en een gewijzigd wachtwoord beëindigen ook sessies.

Elke gebruiker beëindigt zijn eigen sessie met Afmelden. Na de time-out bij inactiviteit behoudt het dialoogvenster Meld u aan om door te gaan het werk op de pagina en vraagt het om opnieuw aan te melden.

Het auditlogboek lezen

  1. Selecteer in de lijst links Auditlogboek.

    Auditlog met filters en export (Groter weergeven)

    De lijst toont elke vastgelegde actie, de nieuwste eerst, met Wanneer, Actor, Actie, Doel, Resultaat en Van.

  2. Beperk de lijst met de filters Zoeken, Actor, Actie, Resultaat (Gelukt, Geweigerd of Mislukt), Van en Tot. Filters wissen zet ze terug, en een regel boven de tabel geeft aan hoeveel records overeenkomen.
  3. Selecteer Details in een rij voor de Referentie, het recordnummer en, bij een wijziging, de hashes van de toestand voor en na. Een record bevat nooit een wachtwoord of geheim.
  4. Selecteer CSV exporteren of JSON exporteren om de records die u ziet, na de filters, als bestand op te slaan.

De acties in dit gedeelte heten identity.<object>.<verb>, bijvoorbeeld identity.user.create, identity.role.update, identity.permission.set, identity.api_token.create, identity.sessions.revoke, identity.login.oidc en identity.mfa.reset. De console leest tot de nieuwste 10.000 records en filtert wat ze heeft gelezen; gebruik voor oudere records de export die hieronder wordt beschreven. Records kunnen via de API niet worden gewijzigd of verwijderd.

Resultaat

Een beëindigde sessie wordt bij het volgende verzoek afgemeld. Het auditlogboek toont de actie identity.sessions.revoke met uw naam als actor.

Automatisering

Met de CLI

Shell
kyvernon sessions list
kyvernon sessions revoke <session-id>
kyvernon users revoke-sessions j.smith
kyvernon audit list --limit 100

audit list toont de oudste records eerst; --after <next> gaat verder met de cursor van de vorige pagina.

Met de API

GET /v1/identity/sessions toont sessies en vereist Sessions.ValidateSession. DELETE /v1/identity/sessions/{id} beëindigt één sessie en DELETE /v1/identity/users/{username}/sessions beëindigt de sessies van een gebruiker; beide vereisen Sessions.TerminateSession. GET /v1/audit leest het logboek met limit, maximaal 1000, en after.

Exporteren naar een logcollector

Het programma kyvernon-audit-export leest het auditlogboek via de API en stuurt elk record als CEF-regel via syslog, met TLS of met UDP. Het kan ook een bestand schrijven waaraan alleen kan worden toegevoegd en waarin elk record door een hash is gekoppeld, en dat bestand later controleren:

Shell
kyvernon-audit-export keygen /etc/kyvernon-audit-export/chain.key
kyvernon-audit-export run --config /etc/kyvernon-audit-export/export.toml
kyvernon-audit-export verify /var/lib/kyvernon-audit-export/audit.chain \
  --key-file /etc/kyvernon-audit-export/chain.key

Gebruik een aparte gebruiker met de bevoegdheid Global.Diagnostics en een API-token. De configuratie van de exporter noemt de controller en de bestemmingen.

Bewaartermijn

De controller verwijdert auditrecords standaard na 400 dagen; de beheerder wijzigt dit met audit_age in de sectie [retention] van de controllerconfiguratie, en 0s bewaart records zonder limiet. Boven 2 GiB legt de controller een waarschuwing vast en registreert hij de gebeurtenis AuditHistoryLargeEvent, waarop een alarm kan reageren. Er wordt niets verwijderd vanwege de omvang. Houd audit_age langer dan de achterstand die de exporter kan oplopen.

Versie 0.1. Laatst gewijzigd: 2026-11-14