用途：在 Kibana 中启用并配置审计日志，记录 Elasticsearch 看不到的应用层安全事件，包括保存对象（仪表板、可视化、索引模式、规则、案例）的增删改查、登录登出、会话过期、空间操作以及 Kibana 级 RBAC 执行。
主要能力：支持启用/禁用审计、配置输出（rolling-file 或 console）、用 ignore_filters 过滤噪声事件（如 saved_object_find）、调查保存对象访问或删除、跟踪登录会话、监控空间增删改，并通过 trace.id 与 Elasticsearch 审计日志关联，或用 Filebeat 将日志送入 Elasticsearch 统一查询。
使用方式：审计在 kibana.yml 中静态配置，修改后需重启 Kibana。示例：xpack.security.audit.enabled: true，appender 可选 rolling-file（推荐）或 console。过滤示例：xpack.security.audit.ignore_filters 下配置 actions 与 categories。关联时提取 Kibana 事件的 trace.id，查询 .security-audit-* 索引。
适用场景：合规审计、安全事件调查、跨系统操作链路追踪。
限制：审计日志需要 gold、platinum、enterprise 或 trial 许可；Serverless 上不可用户配置；ECH 需通过 Cloud UI 配置；rolling-file 与 ignore filters 在 Serverless 不可用。详细事件类型与 schema 见 references/api-reference.md。