SQL 审计

SQL 审计功能支持按执行用户、访问 IP、操作类型对当前集群的 SQL 语句进行查询，也支持导出查询结果，帮助您提升安全审计能力。本文为您介绍具体的操作步骤。

注意事项

• SQL 审计为收费功能。不同云厂商、不同地域、不同计费项的费用不同，费用详情参见 SQL 审计计费说明。

• 同一实例下所有租户的 SQL 审计存储配置是相同的。如需修改存储配置，请在实例页面进行操作，租户页面不支持修改。

• SQL 审计功能支持 MySQL 模式和 Oracle 模式的租户。对象存储审计支持的数据库版本及审计规则，参见 开启租户 SQL 审计 中的对象存储说明。

设置存储配置

1. 登录 OB Cloud 云数据库控制台。

2. 在左侧导航栏中，单击 实例列表。

3. 在实例列表中找到目标实例，单击实例名称，进入实例工作台。

4. 在左侧导航栏中单击 诊断，然后在 诊断 页面选择 实时诊断 页签。

5. 在页面中间单击 SQL 审计 页签。

6. 根据当前存储目标，单击对应的修改按钮，在弹窗中选择存储目标。

   • 当存储目标为 OB Cloud 时，单击 修改存储配置。
   • 当存储目标为 自定义日志服务 或 对象存储 时，单击 修改推送配置。

   根据所选存储目标完成配置：

   存储目标	配置操作	使用条件及说明
   OB Cloud	设置总存储时长。	支持 7 天至 720 天，超过该时长的 SQL 执行记录将被自动删除。
   对象存储	选择 对象存储配置，设置 存储路径前缀。 引用已有对象存储配置时，无需重复填写 Bucket 和访问凭证。 如暂无可用配置，可单击下拉列表中的 添加对象存储配置，在当前页面完成添加后选择；也可前往 项目设置 > 数据推送目标 > 对象存储 管理，详细操作参见 对象存储配置。	配置须属于实例所在项目，与实例的云厂商、地域一致且校验有效。阿里云实例使用阿里云 OSS，AWS 实例使用 AWS S3。
   自定义日志服务	选择 日志服务配置。 引用已有日志服务配置时，无需重复填写 Project、Logstore 和访问凭证。 如暂无可用配置，可单击下拉列表中的 添加日志服务 进行添加；也可前往 项目设置 > 数据推送目标 > 日志服务 管理，详细操作参见 日志服务配置。	仅阿里云实例支持。选择实例所在项目中、与实例地域一致且校验有效的 SLS 配置。凭证需具有向 Logstore 写入日志和查看其元信息的权限。

7. 单击 确定。从 OB Cloud 切换到自定义日志服务或对象存储时，阅读二次确认提示后，再次单击 确定。

   说明

   修改存储配置对实例下所有租户生效。新的审计数据将推送至新的存储目标。从 OB Cloud 切换到自定义日志服务或对象存储后，原 OB Cloud 中的审计数据按原存储时长留存，留存期间不可查看，到期后自动删除。

开启租户 SQL 审计

1. 登录 OB Cloud 云数据库控制台。

2. 在左侧导航栏中，单击 实例列表。

3. 在实例列表中找到目标实例，单击实例名称，进入实例工作台。

4. 在左侧导航栏中单击 诊断，然后在 诊断 页面选择 实时诊断 页签。

5. 在页面中间单击 SQL 审计 页签。

6. 在 租户 SQL 审计 列表中找到目标租户，单击右侧操作列的 开启。

7. 在 开启 SQL 审计 弹窗中，根据实例的存储目标配置相应参数。

   OB Cloud

   自定义日志服务

   对象存储

   MySQL 模式和 Oracle 模式租户的开启步骤相同。

   • 开启对象：默认为当前选择的租户。如需同时开启实例下其他未开启审计的租户，可勾选 同时开启/修改实例下其他租户 SQL审计。
   • 总存储时长：支持设置为 7 天至 720 天，超过该时长的 SQL 执行记录将被自动删除。审计数据按量付费，详情参见 SQL 审计计费说明。

   确认沿用实例的日志服务配置。如需同时开启实例下其他未开启审计的租户，可勾选 同时开启/修改实例下其他租户 SQL审计。此存储目标不提供 SQL 类型和目标数据库账号规则配置。

   沿用实例的对象存储配置，根据租户模式及数据库版本配置审计规则。

   说明

   • SQL 类型默认全选，即记录所有类型的 SQL。
   • 对象存储审计不支持低于 V4.2.5 的数据库版本；MySQL 和 Oracle 模式的具体版本要求及可选规则见下文。

   • MySQL 模式

     配置以下审计规则：

     参数	描述
     目标数据库账号	选择需审计的数据库账号。支持选择全部账号（包括当前和未来新建）或指定账号。 默认选择全部账号 选择指定账号时，从下拉列表中选择需审计的账号，支持多选和搜索。
     SQL 类型	按数据库版本选择需记录的 SQL 大类及子类型。 说明 V4.2.5～V4.4.1、V4.4.2 GA：支持选择连接、表访问和通用事件（包括 DDL、权限变更和系统管理），不支持选择子类型。 V4.4.2.1～V4.5.0.0、V4.6.1.0 及以上：支持选择连接、表访问、DDL、权限变更和系统管理。其中，连接、表访问、DDL 和权限变更支持从下拉列表中选择全部或指定子类型，支持多选；系统管理仅支持整体勾选。 支持选择子类型的版本，可选子类型以页面下拉列表为准。

   • Oracle 模式

     配置以下审计规则：

     参数	描述
     目标数据库账号	选择需审计的数据库账号。支持选择全部账号（包括当前和未来新建）或指定账号。 默认选择全部账号 选择指定账号时，从下拉列表中选择需审计的账号，支持多选和搜索。
     SQL 类型	选择需记录的 SQL 类型。支持记录连接、表访问、DDL、权限变更和系统管理相关的 SQL 语句。如下是部分子类型示例供您参考： 表访问：DELETE TABLE、INSERT TABLE、SELECT SEQUENCE、SELECT TABLE、UPDATE TABLE。 DDL：INDEX、OUTLINE、PROCEDURE、PROFILE、ROLE、SEQUENCE、SYNONYM、TABLE、TABLESPACE。 权限变更：ALTER SYSTEM、CLUSTER、SYSTEM AUDIT、SYSTEM GRANT、EXECUTE PROCEDURE、GRANT PROCEDURE、GRANT SEQUENCE、GRANT TABLE。 说明 支持的数据库版本：V4.4.2.1～4.5.0.0 和 V4.6.1.0 及以上版本。
     审计记录生成策略	支持 记录每次审计操作、仅记录成功操作 和 仅记录失败操作 选项。

8. 单击 确定，开启 SQL 审计。

修改审计规则

仅当存储目标为对象存储且租户已开启 SQL 审计时，才支持修改审计规则。

1. 在实例的 SQL 审计 页签，找到目标租户，单击操作列的 …，选择 修改规则。

2. 在弹窗中根据租户模式修改相应审计规则。可选规则与开启时相同，参见 开启租户 SQL 审计 中的对象存储配置说明。

3. 单击 确定。

修改存储时长

1. 在 SQL 审计 页签的租户列表中，单击目标租户操作列的 …，选择 修改存储时长。

2. 在弹窗中配置相关参数：

   • 设置对象：显示当前租户名称。
   • 同时修改实例下其他租户：可选勾选项，勾选后会将配置同步至实例下其他已开通 SQL 审计的租户。
   • 总存储时长：支持设置 7 天 ~ 720 天，超过设置时长的 SQL 执行记录会被删除。

3. 单击 确定。

关闭 SQL 审计

1. 在 SQL 审计 页签的租户列表中，找到目标租户，根据存储目标选择关闭入口。

   • OB Cloud 或 对象存储：单击操作列的 …，选择 关闭 SQL 审计。
   • 自定义日志服务：单击操作列的 关闭。

2. 在弹窗的文本框中输入 close，然后单击 关闭。

查看和下载 SQL 审计记录

1. 在 SQL 审计 页签的租户列表中，单击目标租户名称，进入该租户的审计记录页面，再单击 展开。

2. 根据条件进行筛选，以下项目均为选填。

   筛选项	说明
   数据库	选择对应租户下需要查看的一个或多个数据库。
   节点	选择需要查看的一个或多个节点。
   关键词	选择需要查看的 SQL 语句中可能存在的关键词。可填写多个关键词，关键词之间可为“and”或“or”的关系。
   用户名	填写需要查看的一个或多个数据库用户名。
   操作类型	在下拉框中选择一个或多个需要查看的操作类型。
   客户端 IP	填写需要查看的客户端 IP。
   扫描记录数	填写需要查看的扫描记录数范围。
   执行耗时（ms）	填写需要查看的 SQL 语句的执行耗时范围。
   时间范围	选择 SQL 执行时间范围。时间范围跨度不能超过 6 小时。

3. 在查询结果中查看如下信息： SQL 语句、数据库、用户、客户端 IP、操作类型、执行结果、请求时间、执行耗时（ms）、扫描行数 和 更新行数。

4. 单击查询结果列表右上角的下载图标，下载查询结果列表。

   说明

   目前最多支持 100 条审计记录下载，如果查询记录数超过 100 行，下载时会按照页面排序顺序只下载前 100 行记录。