Registro desde scripts de administración: logger y systemd-cat en Linux, Write-EventLog/New-WinEvent y Start-Transcript en Windows

Objetivo

Enviar el progreso y el resultado de un script de administración a una ubicación de registro duradera y consultable, adecuada para la plataforma, sin escribir jamás una credencial, un token o una contraseña en ese registro.

Requisitos previos

En Linux, logger (util-linux) o systemd-cat en un host con systemd. En Windows, para Write-EventLog se necesita una fuente personalizada del Registro de eventos ya existente (registrada una sola vez, con antelación, desde una sesión con privilegios elevados); este cmdlet existe solo en Windows PowerShell 5.1 y se eliminó en PowerShell 6+. Como alternativa, New-WinEvent (5.1 y 7.x) con un manifiesto de proveedor registrado.

Pasos

1. En Linux, etiqueta cada mensaje para poder filtrarlo después: logger -t my-admin-script "starting cleanup of /var/tmp". logger(1) describe la utilidad como una herramienta que crea entradas en el registro del sistema, que luego se pueden leer con journalctl -t my-admin-script o en /var/log/syslog, según cómo esté configurado el registro del sistema.
2. Cuando toda la salida estándar y de error del script deba ir al journal sin añadir llamadas a logger por todas partes, ejecútalo con systemd-cat -t my-admin-script ./script.sh. systemd-cat se describe como una herramienta que conecta "la entrada y la salida estándar" de un proceso, o filtra una canalización, hacia el journal; es útil para envolver un script existente sin modificarlo.
3. En Windows PowerShell 5.1, si ya existe una fuente registrada del Registro de eventos para el script, usa Write-EventLog -LogName Application -Source MyAdminScript -EventId 1000 -Message "..." para obtener entradas estructuradas sobre las que una herramienta de monitorización pueda generar alertas. Write-EventLog exige que la fuente se haya creado de antemano (New-EventLog, ejecutado una vez con privilegios elevados); no crees la fuente dentro de la ruta normal de ejecución desatendida del script. En PowerShell 7, usa en su lugar New-WinEvent o [System.Diagnostics.EventLog]::WriteEntry(...).
4. Para un registro más moderno basado en eventos, vinculado a un proveedor ETW y su manifiesto, usa New-WinEvent -ProviderName <name> -Id <id> -Payload <values>, que escribe un evento estructurado a través del proveedor registrado, en lugar de una entrada de registro clásica basada en una fuente.
5. Para obtener una transcripción completa y sin filtrar de todo lo que imprimió la sesión de PowerShell de un script (útil para depurar a posteriori una ejecución desatendida), envuélvelo en Start-Transcript -Path $logPath; ...; Stop-Transcript. Como una transcripción captura literalmente todo lo que se imprime en el host, aplica a su archivo de salida el mismo control de acceso que a los demás registros del script. Además, la transcripción y el registro de bloques de script pueden activarse en todo el equipo mediante directiva de grupo, de modo que un secreto escrito como literal en el script o mostrado en el host puede acabar en una transcripción o en un registro de eventos incluso sin Start-Transcript.
6. Antes de registrar cualquier valor, compáralo con una lista corta de denegación con los nombres de variables que tu script usa para secretos (password, token, key, connectionstring); sustituye esos valores por un marcador fijo antes de la llamada de registro, y no confíes nunca en acordarte de omitirlos caso por caso.

Resultado esperado

La ejecución de un script puede reconstruirse después a partir de journalctl o del Visor de eventos sin tener que volver a ejecutarlo, y la revisión del registro de cualquier ejecución no muestra ninguna credencial en texto plano, sea cual sea lo que el script haya manejado.

Límites y base de verificación

El destino exacto de logger (demonio syslog, journal o ambos) depende de la configuración de registro del host, no de logger en sí. Write-EventLog falla si la fuente nunca se registró o si se registró con otro nombre de registro; después de una ejecución, comprueba con Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='MyAdminScript'} -MaxEvents 1, y no te limites a mirar el valor de retorno de la llamada de escritura. Start-Transcript no oculta nada: un comando que muestre un secreto durante una sesión transcrita sigue apareciendo en el archivo de la transcripción.