使用full_audit插件，记录samba账号操作日志，增删改查等（安全审计）

环境：centos系统

目的：记录samba账号的操作行为

full_audit 是一个用于审计文件操作的功能或插件，通常与 Samba 文件共享服务结合使用，增强 Samba 的审计能力。它允许管理员记录共享上的所有操作，如创建文件、删除文件、更改路径等，从而提供事后溯源的重要工具。

full_audit 功能介绍：
   - 记录共享上的所有操作，包括文件创建、删除、修改等。
   - 提供用户、客户端IP地址、客户端名称和共享名称等详细信息的日志前缀。

具体步骤

1. 修改samba配置

看需求，是想记录某个共享目录，还是整个共享盘
- 所有共享盘：global下添加如下配置项，适用于全局
- 某个网盘：某共享目录下添加

...
   vfs objects = full_audit
   full_audit:prefix = %u|%I|%m|%S
   full_audit:success = connect disconnect mkdir rmdir open pread pwrite write rename unlink chmod chown
   full_audit:failure = none
   full_audit:facility = LOCAL7
   full_audit:priority = NOTICE
...

① 配置项说明：

• vfs objects = full_audit：启用full_audit虚拟文件系统对象，以便记录文件操作。

• full_audit：prefix = %u|%I|%m|%S 这行确保日志前缀中包含：
  - Samba账户名 （%u）
  - 客户端IP地址 （%I）
  - 客户端名称(%m)
  - 共享名 (%S)

• full_audit：success 列出需要记录的成功操作。

  • 连接（connect）、
  • 断开连接（disconnect）、
  • 创建目录（mkdir）、
  • 删除目录（rmdir）、
  • 打开文件（open）、
  • 读取文件（pread）、
  • 写入文件（