Lire le journal d'audit¶

Le journal d'audit de votre organisation enregistre chaque modification de ses personnes, groupes, rôles, attributs, règles, invitations et paramètres. Cette page montre comment le lire et le filtrer. Ce qu'il contient et ce qu'il ne contient pas figure dans Rôles et accès.

org-admin ou auditor peut lire le journal d'audit. Il n'a pas encore d'écran dans OS : vous le lisez via l'API. Les exemples utilisent $OS, $TOKEN et $ORG comme dans Gérer les groupes.

Lire le journal d'audit¶

curl -s "$OS/api/v1/organisations/$ORG/audit-events?limit=100" \
    -H "Authorization: Bearer $TOKEN"

OS renvoie les lignes de la plus ancienne à la plus récente, par pages de 200 au maximum (50 par défaut). Passez next_cursor comme cursor pour la page suivante. Une ligne ressemble à ceci :

{"id": 4182, "at": "2026-10-17T09:12:00Z", "request_id": "...",
 "actor_membership_id": "mem_...", "actor_organisation_id": "org_...",
 "event": "role.assigned", "kind": "role", "thing_id": "ras_...",
 "changes": {"role": [null, "people-admin"], "reach": [null, "organisation"],
             "member_id": [null, "mem_..."]},
 "allowed_actions": ["see"]}

Champ	Signification
`at`, `request_id`	quand, et la requête qui a fait la modification
`actor_membership_id`	qui : une adhésion, ou `system` pour ce qu'OS a fait lui-même
`actor_organisation_id`	depuis quelle organisation : la vôtre, ou une organisation au-dessus si un partenaire ou un opérateur agissait
`event`	ce qui s'est passé, sous la forme `<type>.<verbe>`
`kind`, `thing_id`	sur quoi cela s'est passé
`changes`	chaque champ enregistré qui a changé, sous la forme `[avant, après]`

Filtrer¶

Ajoutez un ou plusieurs filtres à la requête :

event=membership.deactivated : seulement cet événement ;
kind=group : seulement les modifications d'un type d'élément ;
actor=mem_... : seulement ce qu'une personne a fait.

curl -s "$OS/api/v1/organisations/$ORG/audit-events?event=rule.replaced" \
    -H "Authorization: Bearer $TOKEN"

Quels événements existent¶

Événement	Ce qui est enregistré
`group.created`, `group.changed`, `group.deleted`	nom et étiquettes ; à la suppression, combien de membres le groupe avait
`group.member_added`, `group.member_removed`	le groupe et le membre
`role.created`, `role.changed`, `role.deleted`	nom, étiquettes et règles ; à la suppression, combien d'attributions sont parties avec
`role.assigned`, `role.unassigned`	le rôle, la portée, et le membre ou le groupe
`attribute.defined`, `attribute.changed`, `attribute.deleted`	nom, valeurs autorisées et `multiple` ; à la suppression, combien de valeurs sont parties avec
`attribute.value_assigned`, `attribute.value_removed`	l'attribut, la valeur, et le membre ou le groupe
`rule.replaced`	les règles
`membership.deactivated`, `membership.reactivated`, `membership.removed`	le statut
`membership.profile_changed`	lesquels du nom et du téléphone un administrateur a modifiés, jamais les valeurs
`membership.rows_removed`	combien de rôles, groupes et valeurs ont disparu quand OS a nettoyé un membre supprimé
`invitation.sent`, `invitation.revoked`, `invitation.accepted`	l'adhésion de l'invitation ; à l'acceptation, la nouvelle personne est l'auteur
`organisation.relabelled`, `organisation.retention_set`	les étiquettes figurent sur l'organisation ; la durée de conservation

Une invitation acceptée produit aussi une ligne pour chaque rôle, groupe et valeur qu'elle a donnés.

Ce que le journal d'audit ne contient pas¶

Ni mots de passe, ni jetons, ni clés, ni adresses e-mail : une invitation est enregistrée avec son identifiant. Une fois qu'une personne est effacée, ses identifiants d'adhésion y figurent encore, mais ils ne désignent plus personne.

Une modification des personnes ou des paramètres figure tout de suite dans le journal d'audit. Les modifications des adhésions et des invitations y arrivent en arrière-plan, peu après. Si vous relisez une page, vous voyez aussi des lignes enregistrées plus tard ; le journal d'audit sert à être lu, pas à être suivi en direct.

Combien de temps le journal d'audit est conservé¶

Les lignes sont conservées 400 jours par défaut ; ensuite OS les supprime. La durée figure dans audit_retention_days de l'organisation. Seul votre opérateur la modifie ; demandez-lui si vous avez besoin d'une autre durée.

Quand OS refuse¶

Réponse	Signification	Ce que vous faites
`403`	L'organisation, ou une organisation au-dessus, est suspendue.	Demandez à votre opérateur ce qui se passe.
`404`	Vous n'avez pas le droit de lire le journal d'audit, il n'existe donc pas pour vous ; ou l'organisation n'existe pas ou vous ne l'atteignez pas.	Vérifiez `$ORG`, ou demandez à un administrateur le rôle `auditor`.
`422`	Un filtre ou `limit` est incorrect, par exemple `limit` au-dessus de 200.	Lisez `errors` dans la réponse.