转储数据库审计日志

GaussDB(DWS)记录数据库中的连接和用户活动相关信息。这些审计日志信息有助于用户监控数据库以确保安全、进行故障排除及定位历史操作记录。GaussDB(DWS)的审计日志默认存储于数据库中，用户可以将审计日志转储到OBS中，便于负责监控数据库中活动的用户查看这些日志信息。

• 非OBS场景下，此功能不可用。
• 经典变更规格、增删CN等变更CN场景会导致数据丢失，建议在执行变更期间关闭审计日志转储。
• 开启审计日志转储后，如果保存的审计日志大小超过1G就会转储，这可能会导致查询结果异常，用户请谨慎操作。
• CN节点故障可能导致丢失该节点数据。
• 开启审计日志转储目录分区版本支持：
  • 针对8.1.3.x集群仅8.1.3.322及以上集群版本支持，针对8.2.0.x集群仅8.2.0.106及以上集群版本支持，默认打开审计日志转储目录分区且不支持关闭。
  • 历史版本需联系技术支持人员升级使用，升级后用户需手动打开。

1. 登录GaussDB(DWS)管理控制台。
2. 在左侧导航栏中，单击“集群 > 专属集群 ”。
3. 在集群列表中，单击需要查看审计日志转储记录的集群的名称，然后在左侧导航栏单击“安全设置”。
4. 在“审计配置”区域中，单击“查看转储记录”。
5. 在“审计日记转储记录”弹出框中，单击“查看OBS桶”，进入OBS管理控制台。
6. 选择日志存放的OBS桶和文件夹进入查看具体的日志文件。

   可以选择将日志文件下载，解压并打开查看。审计日志文件字段说明如下。

   表1 审计日志文件字段说明

   名称	类型	描述
   begintime	timestamp with time zone	操作的执行开始时间。
   endtime	timestamp with time zone	操作的执行结束时间。
   operation_type	text	操作类型，具体类型见表2。
   audit_type	text	审计类型，具体类型见表3。
   result	text	操作结果。
   username	text	执行操作的用户名。
   database	text	数据库名称。
   client_conninfo	text	客户端连接信息，即gsql，jdbc或odbc。
   object_name	text	操作对象名称。
   command_text	text	操作的执行命令。
   detail_info	text	执行操作详细信息。
   transaction_xid	text	事务ID。
   query_id	text	查询ID。
   node_name	text	节点名称。
   thread_id	text	线程ID。
   local_port	text	本地端口。
   remote_port	text	远端端口。

   表2 operation_type操作类型项

   操作类型	描述
   audit_switch	表示对用户打开和关闭审计日志操作场景进行审计。
   login_logout	表示对用户登录和登出操作场景进行审计。
   system	表示对系统的启停、实例切换操作场景进行审计。
   sql_parse	表示对SQL语句解析场景进行审计。
   user_lock	表示对用户锁定和解锁操作的场景进行审计。
   grant_revoke	表示对用户权限授予和回收操作场景进行审计。
   violation	表示对用户访问存在越权的场景进行审计。
   ddl	表示对DDL操作场景进行审计，因为DDL操作会根据操作对象进行更细粒度控制，仍然沿用审计开关audit_system_object，即由audit_system_object控制对哪些对象的DDL操作进行审计（此处不配置ddl，只要配置了audit_system_object，审计也会生效）。
   dml	表示对DML操作场景进行审计。
   select	表示对SELECT操作场景进行审计。
   internal_event	表示对内部事件操作场景进行审计。
   user_func	表示对用户自定义函数、存储过程、匿名块操作场景进行审计。
   special_func	表示对特殊函数调用操作场景进行审计，特殊函数包括：pg_terminate_backend和pg_cancel_backend。
   copy	表示对COPY操作场景进行审计。
   set	表示对SET操作场景进行审计。
   transaction	表示对事务操作场景进行审计。
   vacuum	表示对VACUUM操作场景进行审计。
   analyze	表示对ANALYZE操作场景进行审计。
   cursor	表示对游标操作的场景进行审计。
   anonymous_block	表示对匿名块操作场景进行审计。
   explain	表示对EXPLAIN操作场景进行审计。
   show	表示对SHOW操作场景进行审计。
   lock_table	表示对锁表操作场景进行审计。
   comment	表示对COMMENT操作场景进行审计。
   preparestmt	表示对PREPARE、EXECUTE、DEALLOCATE操作场景进行审计。
   cluster	表示对CLUSTER操作场景进行审计。
   constraints	表示对CONSTRAINTS操作场景进行审计。
   checkpoint	表示对CHECKPOINT操作场景进行审计。
   barrier	表示对BARRIER操作场景进行审计。
   cleanconn	表示对CLEAN CONNECTION操作场景进行审计。
   seclabel	表示对安全标签操作进行审计。
   notify	表示对通知操作进行审计。
   load	表示对加载操作进行审计。

   表3 audit_type审计类型项

   审计类型	描述
   audit_open/audit_close	表示审计类型为打开和关闭审计日志操作。
   user_login/user_logout	表示审计类型为用户登录/退出成功的操作和用户。
   system_start/system_stop/system_recover/system_switch	表示审计类型为系统的启停、实例切换操作。
   sql_wait/sql_parse	表示审计类型为SQL语句解析。
   lock_user/unlock_user	表示审计类型为用户锁定和解锁成功的操作。
   grant_role/revoke__role	表示审计类型为用户权限授予和回收的操作。
   user_violation	表示审计类型为用户访问存在越权的操作。
   ddl_数据库对象	表示审计类型为DDL操作，因为DDL操作由会根据操作对象进行更细粒度控制，仍然沿用审计开关audit_system_object，即由audit_system_object控制对哪些对象的DDL操作进行审计（此处不配置ddl，只要配置了audit_system_object，审计也会生效）。 例如：ddl_sequence表示审计类型为序列相关操作。
   dml_action_insert/dml_action_delete/dml_action_update/dml_action_merge/dml_action_select	表示审计类型为INSERT、DELETE、UPDATE、MERGE等DML操作。
   internal_event	表示审计类型为内部事件。
   user_func	表示审计类型为用户自定义函数、存储过程、匿名块操作。
   special_func	表示审计类型为特殊函数调用操作，特殊函数包括：pg_terminate_backend和pg_cancel_backend。
   copy_to/copy_from	表示审计类型为COPY相关操作。
   set_parameter	表示审计类型为SET操作。
   trans_begin/trans_commit/trans_prepare/trans_rollback_to/trans_release/trans_savepoint/trans_commit_prepare/trans_rollback_prepare/trans_rollback	表示审计类型为事务相关操作。
   vacuum/vacuum_full/vacuum_merge	表示审计类型为VACUUM相关操作。
   analyze/analyze_verify	表示审计类型为ANALYZE相关操作。
   cursor_declare/cursor_move/cursor_fetch/cursor_close	表示审计类型为游标相关操作。
   codeblock_execute	表示审计类型为匿名块。
   explain	表示审计类型为EXPLAIN操作。
   show	表示审计类型为SHOW操作。
   lock_table	表示审计类型为锁表操作。
   comment	表示审计类型为COMMENT操作。
   prepare/execute/deallocate	表示审计类型为PREPARE、EXECUTE或DEALLOCATE操作。
   cluster	表示审计类型为CLUSTER操作。
   constraints	表示审计类型为CONSTRAINTS操作。
   checkpoint	表示审计类型为CHECKPOINT操作。
   barrier	表示审计类型为BARRIER操作。
   cleanconn	表示审计类型为CLEAN CONNECTION操作。
   seclabel	表示审计类型为安全标签操作。
   notify	表示审计类型为通知操作。
   load	表示审计类型为加载操作。

1. 登录GaussDB(DWS)管理控制台。
2. 在左侧导航栏中，单击“集群 > 专属集群 ”。
3. 在集群列表中，单击需要关闭审计日志转储的集群的名称，然后在左侧导航栏单击“安全设置”。
4. 在“审计配置”区域中，关闭审计日志转储开关。
5. 单击“应用”。

   “配置状态”显示为“应用中”，表示系统正在保存配置。

   等待一段时间后再次刷新“配置状态”，当显示为“已同步”，表示已保存配置并生效。