用途：通过集群设置 API 启用和配置 Elasticsearch 安全审计日志，记录认证尝试、访问授权与拒绝、角色变更、API Key 操作等安全事件，用于合规与事件调查。
主要能力：动态启用/关闭审计（xpack.security.audit.enabled）；选择输出到 logfile 或 index（.security-audit-* 索引，可编程查询）；通过 events.include/exclude 选择事件类型（如 authentication_failed、access_denied、security_config_change）；用 ignore_filters 按 users、realms、roles、indices、actions 过滤噪音；查询失败认证、越权访问、配置变更，并用聚合检测暴力破解；通过 trace.id 与 Kibana 审计日志关联。
使用方式：需 Elasticsearch URL、有效凭据、manage 集群权限，以及 gold/platinum/enterprise/trial 许可证。启用示例：curl -X PUT "${ELASTICSEARCH_URL}/_cluster/settings" -H "Content-Type: application/json" -d '{"persistent":{"xpack.security.audit.enabled":true}}'。查询示例：curl -X POST "${ELASTICSEARCH_URL}/.security-audit-*/_search"。
适用场景：合规审计配置、安全事件调查、暴力破解检测、审计日志降噪。
限制：Serverless 不支持用户配置审计；ECH 的 logfile 输出需通过 Cloud UI 获取；旧版本（8.x 前）部分输出设置可能需在 elasticsearch.yml 静态配置；Kibana 审计需单独在 kibana.yml 启用。建议优先使用 index 输出、从失败事件开始、用过滤策略而非禁用事件类型，并配置 ILM 控制索引大小。