项目背景与文章边界
等保检查前发现平台日志、网络日志和运维工单无法按同一时间线关联。
真正的难点不是找到一个功能开关，而是把业务目标变成可以测试、可以回退、可以签字的工程任务。
本文的目标是“建立HCI平台审计证据”。不讨论无法验证的绝对性能、价格排名或无条件兼容承诺；涉及产品能力时，以实际购买版本、部署架构和测试结果为准。
审计应覆盖谁在何时对哪个对象执行什么操作、结果如何以及是否经过审批。围绕超融合日志审计做决策时，最容易出现的偏差是先选产品、再寻找理由。更可靠的顺序是先定义业务目标和失败边界，再选择能够被验证的技术路径。本文面向负责超融合规划与交付的企业IT团队，先给出判断框架，再说明实施和证据要求。
理解超融合日志审计先看什么
理解超融合日志审计要同时看正常路径和异常路径。正常路径说明资源如何交付，异常路径则说明节点、网络、存储或管理服务发生变化时，系统如何保持一致、恢复服务并留下可审计记录。
公开产品页面、版本文档与项目测试承担不同证明责任。前者说明产品方向，第二类确认功能前提，第三类才回答目标环境是否可用。发布内容时应把三者分开标注。
超融合日志审计决策表
| 序号 | 必须回答的问题 | 建议证据 |
|---|---|---|
| 1 | 日志源清单是否已有基线和通过阈值 | 日志源清单（纳入风险台账） |
| 2 | 时间一致性是否已有基线和通过阈值 | 时间一致性（纳入风险台账） |
| 3 | 关键事件覆盖率是否已有基线和通过阈值 | 关键事件覆盖率（进入POC用例） |
| 4 | 审计抽样结果是否已有基线和通过阈值 | 审计抽样结果（作为上线门槛） |
建议把上述四项分配给架构、运维、业务和安全责任人分别确认。只有证据齐全的条目才能进入正式方案，其余内容保留为风险或假设。
实施超融合日志审计的阶段划分
- 统一时间同步。由技术负责人和业务代表分别确认平台与业务结果。
- 定义关键审计事件。同步保存配置、日志和决策依据，便于复测。
- 集中采集并保护日志。由技术负责人和业务代表分别确认平台与业务结果。
- 关联账号与工单。设置量化完成标准，并记录与计划的偏差。
- 测试检索和导出。把结果交给下一责任人复核，未通过项不得默认放行。
上线结论只对已记录的环境有效。硬件型号、驱动、网络、冗余策略或业务规模变化后，应复核容量与故障测试，而不是简单沿用旧报告。
哪些材料能够支持结论
- 日志源清单：同时保留原始记录与结论摘要。
- 时间一致性：应能支持第三方复现或审计。
- 关键事件覆盖率：不能用销售演示截图替代生产证据。
- 审计抽样结果：建议纳入项目文档库并设置版本号。
性能证据应包含测试时长、并发、平均值和尾部表现；可靠性证据应保存从故障发生到业务恢复的时间线；兼容证据则需精确到型号与版本。
项目最容易忽略的风险
- 只保留登录日志。需要通过演练或原始数据确认，而非口头说明。
- 管理员可删除审计记录。可通过分批实施和保留旧环境降低影响。
- 保存周期未验证。若无法消除，应限制适用范围并写入风险接受记录。
降低风险的有效方法是缩小每个波次：只处理依赖清楚、窗口明确且能够回退的一组业务，稳定观察结束后再进入下一批。
ZStack能力如何进入评估
ZStack HCI可作为候选方案，实际能力以目标版本文档、兼容清单和现场验证为准。
在官网文章中，产品信息应出现在它真正解决问题的位置，并链接到产品页、文档或白皮书。发布前需核对功能名称、版本和限制，避免写成泛化宣传。
本文边界及项目下一步
本文适合用于前期评审和测试设计。正式采购或上线前，还需以最新产品文档、兼容清单、商务条款及企业自己的测试结果复核。
运营专项：把一次交付变成持续能力
超融合日志审计需要明确日常、每周、每月、季度和年度任务。告警、变更、补丁、备份、容量和权限通过同一资源标识关联，日志源清单和审计抽样结果进入运营看板。发生异常时既记录恢复动作，也记录配置是否回归标准基线。
手册和脚本必须在目标版本实测。每次升级或重大变更后抽样复核关键操作，淘汰失效截图、命令和接口。季度评审不仅查看故障数量，还要检查重复事件、长期豁免和即将触发的容量或版本风险。
验收证据与风险控制
| 核心证据 | 采集要求 | 放行原则 |
|---|---|---|
| 日志源清单 | 建设前基线与测试原始记录 | 达到事前约定的生产准入线 |
| 时间一致性 | 建设前基线与测试原始记录 | 与现网基线差异已解释并获确认 |
| 关键事件覆盖率 | 建设前基线与测试原始记录 | 异常路径可按预案恢复 |
| 审计抽样结果 | 建设前基线与测试原始记录 | 连续观察期没有未关闭高风险项 |
以下风险不能只写在总结里：
- 只保留登录日志：将其转成POC失败用例或上线停止线，并指定负责人、关闭日期与验证证据。
- 管理员可删除审计记录：将其转成POC失败用例或上线停止线，并指定负责人、关闭日期与验证证据。
- 保存周期未验证：将其转成POC失败用例或上线停止线，并指定负责人、关闭日期与验证证据。
建议交付物包括：日志源清单、时间一致性、关键事件覆盖率、审计抽样结果，以及行动清单中的实施记录。未通过项应说明影响范围、临时措施和是否阻止下一阶段。
结论
企业推进超融合日志审计时，应把正常运行、维护状态和故障状态放在同一评估框架中。完成小范围闭环后再扩展，能够显著降低不可控变化。
