Exibição de logs de auditoria do banco de dados

Pré-requisitos

• A função de auditoria foi habilitada definindo audit_enabled. O valor padrão de audit_enabled é ON. Para desabilitar a auditoria, defina-a como OFF referindo-se a Modificação de parâmetros do banco de dados.
• Os itens de auditoria foram configurados. Para obter detalhes sobre como habilitar itens de auditoria, consulte Configuração dos logs de auditoria do banco de dados.
• O banco de dados está sendo executado corretamente e uma série de operações de adição, modificação, exclusão e consulta foram executadas no banco de dados. Caso contrário, nenhum resultado de auditoria será gerado.
• Os logs de auditoria de cada nó de banco de dados são registrados separadamente.
• Somente usuários com a permissão AUDITADMIN podem exibir registros de auditoria.

Exibir logs de auditoria do banco de dados

Método 1: os logs de auditoria ocuparão espaço em disco. Para evitar o uso excessivo do disco, o GaussDB(DWS) suporta despejo de log de auditoria. Você pode habilitar a função Log Dump para despejar logs de auditoria para o OBS (você precisa criar um bucket do OBS para armazenar logs de auditoria primeiro). Para obter detalhes sobre como exibir os logs despejados, consulte Exibir despejos de log de auditoria.

Método 2: use a função Log do LTS para exibir ou baixar os logs de auditoria do banco de dados coletados. Para mais detalhes, consulte Verificar os logs do cluster.

Método 3: esses logs de auditoria são armazenados no banco de dados por padrão. Depois de se conectar ao cluster, você pode usar a função pg_query_audit para exibir os logs. Para mais detalhes, consulte Usar funções para exibir logs de auditoria do banco de dados.

Usar funções para exibir logs de auditoria do banco de dados

1. Use a ferramenta de cliente SQL para se conectar ao cluster de banco de dados. Para mais detalhes, consulte Conexão de clusters.
2. Use a função pg_query_audit para consultar os logs de auditoria do CN atual. A sintaxe é a seguinte:

   1	pg_query_audit(timestamptz startime,timestamptz endtime,audit_log)

   startime e endtime indicam a hora de início e a hora de término do registro de auditoria, respectivamente. audit_log indica o caminho do arquivo físico dos logs de auditoria consultados. Se audit_log não for especificado, as informações de log de auditoria da instância atual serão consultadas.

   Por exemplo, exiba os registros de auditoria do nó CN atual em um período especificado.

   1	SELECT * FROM pg_query_audit('2021-02-23 21:49:00','2021-02-23 21:50:00');

   O resultado da consulta é o seguinte:

   1 2 3

   begintime | endtime | operation_type | audit_type | result | username | database | client_conninfo | object_name | command_text | detail_info | transaction_xid | query_id | node_name | session_id | local_port | remote_port ---------------------------+---------------------------+----------------+------------+--------+------------+----------+-----------------+-------------+-----------------+------------------------------------------------------------------+-----------------+----------+--------------+------------------------------+------------+------------- 2021-02-23 21:49:57.76+08 | 2021-02-23 21:49:57.82+08 | login_logout | user_login | ok | dbadmin | gaussdb | gsql@[local] | gaussdb | login db | login db(gaussdb) successfully, the current user is: dbadmin | 0 | 0 | coordinator1 | 140324035360512.667403397820909.coordinator1 | 27777 |

   Esse registro indica que o usuário dbadmin fez logon no banco de dados gaussdb em 2021-02-23 21:49:57.82 (GMT+08:00). Depois que o host especificado por log_hostname é iniciado e um cliente é conectado ao seu endereço IP, o nome do host encontrado pela resolução do DNS inversa é exibido após o sinal de arroba (@) no valor de client_conninfo.

3. Use a função pgxc_query_audit para consultar logs de auditoria de todos os CNs. A sintaxe é a seguinte:

   1	pgxc_query_audit(timestamptz startime,timestamptz endtime)

   Por exemplo, veja os registros de auditoria de todos os nós CN em um período especificado.

   1	SELECT * FROM pgxc_query_audit('2021-02-23 22:05:00','2021-02-23 22:07:00') where audit_type = 'user_login' and username = 'user1';

   O resultado da consulta é o seguinte:

   1 2 3 4

   begintime | endtime | operation_type | audit_type | result | username | database | client_conninfo | object_name | command_text | detail_info | transaction_xid | query_id | node_name | session_id | local_port | remote_port ----------------------------+----------------------------+----------------+------------+--------+----------+----------+-----------------+-------------+--------------+------------------------------------------------------------+-----------------+----------+--------------+----------------------------------------------+------------+------------- 2021-02-23 22:06:22.219+08 | 2021-02-23 22:06:22.271+08 | login_lgout | user_login | ok | user1 | gaussdb | gsql@[local] | gaussdb | login db | login db(gaussdb) successfully, the current user is: user1 | 0 | 0 | coordinator2 | 140689577342720.667404382271356.coordinator | 27782 | 2021-02-23 22:05:51.697+08 | 2021-02-23 22:05:51.749+08 | login_lgout | user_login | ok | user1 | gaussdb | gsql@[local] | gaussdb | login db | login db(gaussdb) successfully, the current user is: user1 | 0 | 0 | coordinator1 | 140525048424192.667404351749143.coordinator1 | 27777 |

   O resultado da consulta mostra os registros de logon bem-sucedidos de user1 em CN1 e CN2.

4. Consulte os registros de auditoria de vários objetos.

   1 2	SET audit_object_name_format TO 'all'; SELECT object_name,result,operation_type,command_text FROM pgxc_query_audit('2022-08-26 8:00:00','2022-08-26 22:55:00') where command_text like '%student%';

   O resultado da consulta é o seguinte:

   1 2 3 4 5 6 7 8

   object_name | result | operation_type | command_text ------------------------------------------------------------------+--------+----------------+------------------------------------------------------------------------------------------------------------------ -------------------------------------------- student | ok | ddl | CREATE TABLE student(stuNo int, stuName TEXT); studentscore | ok | ddl | CREATE TABLE studentscore(stuNo int, stuscore int); ["public.student_view01","public.studentscore","public.student"] | ok | ddl | CREATE OR REPLACE VIEW student_view01 AS SELECT * FROM student t1 where t1.stuNo in (select stuNo from studentscore t2 where t1.stuNo = t2.stuNo); ["public.student_view01","public.student","public.studentscore"] | ok | dml | SELECT * FROM student_view01;

   Na coluna object_name, a tabela, a visão e a tabela base associadas à visão são exibidas.