导出审计日志

所有者、管理员和审计人员可以随时导出审计日志。导出的内容用于审查、事件响应、审计人员查阅，以及你自己的 SIEM。

从控制台导出

在你组织的工作区中打开 Evidence，选择时间段和筛选条件，然后导出为 CSV 或 JSON。

每次导出都会记录在导出日志中，包括日期、作者、筛选条件、行数以及文件的 SHA-256。控制台会将收到的文件哈希与该日志进行比对，因此你可以向审计人员证明该文件就是 zn 生成的那一个。

组织证据 将 zn-gate 审计日志与成员 API 密钥的云端检查结果合并到一个文件中，格式可选 OpenTelemetry（OTLP JSON Lines）、CSV 或 JSON，并同样记录在同一导出日志中。

导出内容使用不透明的成员 ID（mem_…）标识人员，而不使用电子邮件地址。成员 页面显示每个 ID 对应的成员。

OpenTelemetry（OTLP JSON Lines）

zn-gate 也可以将审计日志写为 OpenTelemetry 日志：每行一个 OTLP/JSON 格式的 ExportLogsServiceRequest，每行最多 500 条记录，每个安装实例对应一个 resource。在任何机器上无需账户即可执行：

zn log export --otlp --since 7d --out zn-audit-7d.otlp.jsonl

这正是 OpenTelemetry Collector 的 otlpjsonfile receiver 所读取的格式，每一行也可以原样发送到任何 OTLP/HTTP POST /v1/logs 端点。以下是一个最小化的 Collector（contrib）配置：

receivers:
  otlpjsonfile: { include: ["./zn-audit-*.otlp.jsonl"], start_at: beginning }
exporters:
  debug: { verbosity: detailed }
service:
  pipelines:
    logs: { receivers: [otlpjsonfile], exporters: [debug] }

将 debug 替换为你 SIEM 的 exporter。

每条记录都是一个 zn.gate.decision 事件。在适用的地方使用 OpenTelemetry 语义属性（gen_ai.agent.name、gen_ai.tool.name、server.address、process.executable.name），其余信息使用 zn.* 属性：决策及其原因、密钥的名称和模式，以及审计链（zn.audit.seq、zn.audit.prev、zn.audit.mac）。受警告规则影响的使用会以 WARN 严重级别记录。绝不包含密钥值。

相同的记录始终生成相同的字节，因此哈希也相同。

保留期限

zn 将审计记录保留 180 天，云端证据保留 90 天。SOC 2 Type II 审查通常会查看 12 个月的记录：请定期导出（例如每月一次），并连同其哈希一起保存文件。参见 SOC 2 与 AI 编码代理。

将日志直接推送到你的 SIEM、更长的保留期、SSO 和 SCIM 不属于 Team v0 的功能。如果你需要这些功能，请联系我们。