在 Amazon Aurora MySQL 数据库集群中使用高级审计

您可以在 Amazon Aurora MySQL 中使用高性能的高级审核功能来审核数据库活动。要启用该功能，您可以通过设置多个数据库集群参数来启用审核日志的收集。在启用了高级审核时，您可以用它来记录任意支持事件的组合。

通过查看或下载审计日志，您可以一次查看一个数据库实例的审计信息。为此，您可以使用 监控 Amazon Aurora 日志文件 中的过程。

启用高级审核

可以使用本节中介绍的参数为数据库集群启用和配置高级审核。

使用 server_audit_logging 参数启用或禁用高级审计。

使用 server_audit_events 参数指定要记录的事件。

使用 server_audit_incl_users 和 server_audit_excl_users 参数来指定审核的对象。默认情况下会审计所有用户。有关一个或两个参数留空或者两者均指定相同用户名时这些参数工作方式的详细信息，请参阅 server_audit_incl_users 和 server_audit_excl_users 。

通过在数据库集群使用的参数组中设置这些参数来配置高级审核。您可以使用 修改数据库参数组中的参数 中所示的过程，通过 AWS Management Console来修改数据库集群参数。您可以使用 modify-db-cluster-parameter-group AWS CLI 命令或 ModifyDBClusterParameterGroup Amazon RDS API 操作，以编程方式修改数据库集群参数。

如果参数组已与集群关联，无需重新启动数据库集群即可修改这些参数。首次将参数组与集群关联时，需要重新启动集群。

server_audit_logging

启用或禁用高级审核。该参数默认为 OFF；将其设置为 ON 可启用高级审核。

日志不会显示审计数据，除非您还使用 server_audit_events 参数对要审计的一种或多种类型的事件进行定义。

若要确认数据库实例的审计数据是否已记录，请检查该实例的某些日志文件的名称格式是否为 audit/audit.log. other_identifying_information 。要查看日志文件的名称，请按照 查看和列出数据库日志文件 中的过程执行操作。

server_audit_events

包含要记录的事件列表，以逗号分隔。事件必须以全大写形式指定，列表元素之间不应有空格，例如： CONNECT,QUERY_DDL 。该参数默认为空字符串。

您可以记录以下事件的任意组合：

QUERY – 以纯文本记录所有查询，包括由于语法或权限错误而失败的查询。

QUERY_DCL – 类似于 QUERY 事件，不过仅返回数据控制语言 (DCL) 查询 (GRANT、REVOKE 等)。

QUERY_DDL – 类似于 QUERY 事件，不过仅返回数据定义语言 (DDL) 查询 (CREATE、ALTER 等)。

QUERY_DML – 类似于 QUERY 事件，但仅返回数据操作语言 (DML) 查询（INSERT、UPDATE 等，也包括 SELECT）。

TABLE – 记录受查询执行影响的表。

server_audit_incl_users

包含已记录其活动的用户的用户名列表，以逗号分隔。列表元素之间不应有空格，例如： user_3,user_4 。该参数默认为空字符串。最大长度为 1024 个字符。指定用户名必须与 User 表的 mysql.user 列中的对应值匹配。有关用户名的更多信息，请参阅 MySQL 文档中的 账户用户名和密码 。

如果 server_audit_incl_users 和 server_audit_excl_users 均为空（默认），则审计所有用户。

如果您将用户添加到 server_audit_incl_users 并将 server_audit_excl_users 留空，则只审核这些用户。

如果将用户添加到 server_audit_excl_users 并将 server_audit_incl_users 留空，会对所有用户进行审计，但 server_audit_excl_users 中列出的用户除外。

如果将同一用户同时添加到 server_audit_excl_users 和 server_audit_incl_users ，则会审计这些用户。如果两个设置中均列出同一用户， server_audit_incl_users 获得的优先级更高。

Connect 和 disconnect 事件不受此变量的影响；只要指定就始终记录这些事件。即使在 server_audit_excl_users 参数中也指定了某个用户，由于 server_audit_incl_users 具有更高的优先级，仍会记录该用户。

server_audit_excl_users

包含未记录其活动的用户的用户名列表，以逗号分隔。列表元素之间不应有空格，例如： rdsadmin,user_1,user_2 。该参数默认为空字符串。最大长度为 1024 个字符。指定用户名必须与 User 表的 mysql.user 列中的对应值匹配。有关用户名的更多信息，请参阅 MySQL 文档中的 账户用户名和密码 。

如果 server_audit_incl_users 和 server_audit_excl_users 均为空（默认），则审计所有用户。

如果将用户添加到 server_audit_excl_users 并将 server_audit_incl_users 留空，则除在 server_audit_excl_users 中列出的那些用户外，其他所有用户均会被审计。

如果将同一用户同时添加到 server_audit_excl_users 和 server_audit_incl_users ，则会审计这些用户。如果两个设置中均列出同一用户， server_audit_incl_users 获得的优先级更高。

Connect 和 disconnect 事件不受此变量的影响；只要指定就始终记录这些事件。如果在 server_audit_incl_users 参数中也指定了某个用户，由于该设置的优先级高于 server_audit_excl_users ，则记录该用户。

要下载日志文件，请在 Logs (日志) 部分选择该文件并选择 Download (下载) 。

您还可以使用 describe-db-log-files AWS CLI 命令获取日志文件列表。您可以使用 download-db-log-file-portion AWS CLI 命令下载日志文件内容。有关更多信息，请参阅“ 查看和列出数据库日志文件 ”和“ 下载数据库日志文件 ”。

审计日志详细信息

日志文件表示为 UTF-8 格式的逗号分隔变量 (CSV) 文件。查询也用单引号（'）引起来。

审计日志分别存储在每个实例的本地存储中。每个 Aurora 实例一次将写入分布在四个日志文件中。日志的最大大小总计为 100 MB。当达到这个不可配置的限制时，Aurora 将旋转文件并生成四个新文件。

审核日志文件的各行按照指定顺序包含以下逗号分隔的信息：