需启用宝塔面板操作审计功能并配置系统级auditd、子账户日志分离及远程syslog转发，以全面记录所有用户操作行为。
如果您在宝塔面板中需要追踪并记录所有用户（包括管理员与子账户）对面板执行的操作行为，则需启用并配置操作审计功能。宝塔面板自7.9.0版本起内置操作审计模块，但默认未开启且部分审计能力依赖于系统日志与权限配置。以下是实现全面操作审计的步骤：
一、启用宝塔面板内置操作审计日志
宝塔面板提供基础的操作日志记录功能，可捕获面板内大部分界面操作，如网站创建、SSL证书部署、防火墙规则修改等。该日志由面板后端自动写入，无需额外服务，但需确保审计开关已打开且日志存储路径可写。
1、使用具有root权限的账号登录宝塔面板后台。
2、点击左侧菜单栏的“设置” → “面板设置”。
3、向下滚动至“安全设置”区域，找到“操作日志记录”选项，将其状态切换为“开启”。
4、确认“日志保存天数”设置为不小于30天，避免关键记录被自动清理。
5、点击“保存”按钮使配置生效。
二、配置系统级命令审计（auditd）捕获终端操作
内置面板日志无法覆盖通过SSH直接执行的命令（如手动修改Nginx配置、重启服务、删除文件等）。需启用Linux auditd服务，对所有用户的bash命令、关键系统调用进行底层审计，确保终端行为可追溯。
1、以root身份执行命令安装auditd：yum install audit -y（CentOS/RHEL）或apt install auditd -y（Ubuntu/Debian）。
2、启动并启用auditd服务：systemctl start auditd && systemctl enable auditd。
3、编辑审计规则文件：/etc/audit/rules.d/critical.rules，追加以下内容：
-a always,exit -F arch=b64 -S execve -F uid!=0 -k user_commands
-w /www/server/panel/vhost/ -p wa -k panel_vhost
-w /www/server/panel/data/ -p wa -k panel_data
4、重新加载规则：augenrules --load。
5、验证规则是否生效：ausearch -k user_commands | head -n 5，应可见非root用户的execve调用记录。
三、启用子账户操作分离与独立日志路径
宝塔面板默认将所有用户（含子账户）的操作日志统一写入同一文件，不利于责任界定。通过为每个子账户分配独立日志目录并配合文件系统ACL，可实现操作行为按账户隔离存储。
1、进入面板后台，点击“用户” → “子账户管理”，为每个子账户设置唯一用户名与强密码，禁用“超级管理员”权限。
2、在服务器终端执行命令，为子账户创建专属审计目录：mkdir -p /www/audit_log/username（将username替换为实际子账户名）。
3、设置目录归属与访问控制：chown username:root /www/audit_log/username && chmod 750 /www/audit_log/username。
4、修改宝塔面板日志写入逻辑：编辑文件/www/server/panel/class/panelPlugin.py，定位到日志写入函数，在写入前插入判断逻辑，使子账户操作日志定向写入对应目录下的operation.log文件。
5、重启面板服务：bt restart，触发新日志路径加载。
四、配置远程日志转发至独立Syslog服务器
本地日志存在被恶意删除或覆盖风险。将操作审计日志实时转发至外部不可篡改的Syslog服务器（如rsyslog+TLS），可保障日志完整性与抗抵赖性，满足合规性要求。
1、在目标Syslog服务器上启用TCP/TLS接收端口（如6514），配置证书与信任链。
2、在宝塔所在服务器安装rsyslog增强包：yum install rsyslog-gnutls -y（CentOS）或apt install rsyslog-gnutls -y（Ubuntu）。
3、编辑rsyslog配置文件/etc/rsyslog.conf，取消注释$ModLoad imfile行，并在末尾添加：
$InputFileName /www/server/panel/logs/panel.log
$InputFileTag panel-main:
$InputRunFileMonitor
*.* @@syslog-server-ip:6514;RSYSLOG_ForwardFormat
4、将Syslog服务器证书复制至/etc/pki/tls/certs/，并在rsyslog配置中指定$DefaultNetstreamDriverCAFile路径。
5、重启rsyslog服务：systemctl restart rsyslog。
