用途：配置 Kibana 审计日志，记录 Elasticsearch 看不到的应用层安全事件，包括保存对象（仪表板、可视化、索引模式、规则、案例）的增删改查、登录登出与会话过期、空间操作以及 Kibana 层 RBAC 执行情况。审计为静态配置，写在 kibana.yml 中（非 API），修改后需重启 Kibana。
启用方式：设置 xpack.security.audit.enabled: true，并配置 appender。appender 类型有 rolling-file（写入文件并支持轮转，推荐）与 console（写入 stdout，适合容器化部署）。rolling-file 可设置 fileName、时间间隔轮转策略与保留文件数量上限。
事件：采用 ECS 格式，核心字段包括 event.action、event.outcome、user.name、trace.id、@timestamp，另有 kibana.saved_object.type、kibana.saved_object.id、kibana.space_id 等。主要动作覆盖 saved_object_create/get/update/delete/find、open/close_point_in_time、resolve，login、logout、session_cleanup、access_agreement_acknowledged，以及 space_create/update/delete/get。
过滤：可用 xpack.security.audit.ignore_filters 按 actions、categories 抑制噪声事件（如高频的 saved_object_find）；单个过滤条目中所有字段都匹配时该事件才被过滤。
关联与投递：Kibana 代表用户请求 Elasticsearch 时，两者记录相同 trace.id（经 X-Opaque-Id 传递），可作为跨日志关联主键，也可用 user.name、source.ip、@timestamp 辅助关联。默认日志写入文件，可用 Filebeat 采集并写入 Elasticsearch 索引（如 kibana-audit-%{+yyyy.MM.dd}），以便与 .security-audit-* 一并查询。
限制与前提：审计日志需要 gold、platinum、enterprise 或 trial 许可；自管理部署可直接改 kibana.yml，ECH 通过 Cloud UI 配置，Serverless 不支持用户自行配置。建议同时启用 Elasticsearch 审计以获得完整覆盖，并配置轮转与保留（合规常见 30–90 天）避免磁盘写满。完整事件模式见 references/api-reference.md。