更新时间:2023-01-10 GMT+08:00

步骤二:添加Agent

将待审计数据库添加至数据库安全审计实例后,您需要根据您在云上实际部署的数据库选择添加Agent的方式以及在应用端或数据库端安装Agent。Agent程序会获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据,帮助您实现对数据库的安全审计。

完成添加Agent后,您还需要为Agent安装节点所在的安全组添加入方向规则TCP协议(8000端口)和UDP协议(7000-7100端口),使Agent与审计实例之间的网络连通,数据库安全审计才能对添加的数据库进行审计。

前提条件

  • 已成功申请数据库安全审计实例,且实例的状态为“运行中”
  • 已成功添加数据库。

常见场景

请您根据数据库类型以及数据库部署场景,为待审计的数据库添加Agent。数据库常见的部署场景说明如下:

  • ECS/BMS自建数据库的常见部署场景如图1图2所示。
    图1 一个应用端连接多个ECS/BMS自建数据库
    图2 多个应用端连接同一个ECS/BMS自建数据库
  • RDS关系型数据库的常见部署场景如图3图4所示。
    图3 一个应用端连接多个RDS
    图4 多个应用端连接同一个RDS

添加Agent方式的详细说明如表1所示。

  • 当您的应用和数据库(ECS/BMS自建数据库)都部署在同一个节点上时,Agent需在数据库端添加。
表1 添加Agent方式说明

使用场景

Agent安装节点

审计功能说明

注意事项

ECS/BMS自建数据库

数据库端

可以审计所有访问该数据库的应用端的所有访问记录。

  • 在数据库端添加Agent。
  • 当某个应用端连接多个ECS/BMS自建数据库时,所有连接该应用端的数据库都需要添加Agent。

RDS关系型数据库

应用端

(应用端部署在云上)

可以审计该应用端与其连接的所有数据库的访问记录。

  • 在应用端添加Agent。
  • 当某个应用端连接多个RDS时,所有连接该应用端的RDS关系型数据库都需要添加Agent。当其中一个RDS选择“安装节点类型”后,其余RDS添加Agent时,选择“选择已有Agent”添加方式。详细操作请参见•“添加方式”选择“选择已有Agent”
  • 当多个应用端连接同一个RDS时,所有连接该RDS的应用端都需要添加Agent。

代理端(应用端部署在云下)

只能审计代理端与后端数据库之间的访问记录,无法审计应用端与后端数据库的访问记录。

  • 在应用端添加Agent。
  • “安装节点IP”需要配置为代理端的IP地址。

添加Agent(ECS/BMS自建数据库)

  1. 登录管理控制台。
  2. 在页面上方选择“区域”后,单击,选择安全 > 数据库安全服务,进入数据库安全审计“总览”界面。
  3. 在左侧导航树中,选择数据库列表,进入数据库列表界面。
  4. “选择实例”下拉列表框中,选择需要添加Agent的数据库所属的实例。
  5. 在添加的数据库所在行的“Agent”列,单击“添加Agent”
  6. 在弹出的“添加Agent”对话框中,选择添加方式,相关参数说明如表2所示。

    表2 添加Agent参数说明(ECS/BMS自建数据库)

    参数名称

    说明

    取值样例

    添加方式

    您可以选择Agent的添加方式。
    • 选择已有Agent

      当某个应用端连接了多个数据库时,如果该应用端的一个数据库已经在应用端添加了Agent。其他数据库在添加Agent时,只需要选择“选择已有Agent”添加方式。

    • 创建Agent

      如果待添加Agent的数据库需要创建Agent,请创建新的Agent。

    创建Agent

    安装节点类型

    “添加方式”选择“创建Agent”时,需配置该参数。

    审计ECS/BMS自建数据库,选择“数据库端”

    数据库端

    操作系统

    指待审计的数据库的操作系统,支持“LINUX64”

    LINUX64

  7. 单击“确定”,Agent添加成功。
  8. 单击数据库左侧的展开该数据库的详细信息,查看添加的Agent信息。

    Agent添加完成后,请您确认添加的Agent信息正确。如果Agent添加不正确,请您在Agent所在行单击“删除”,删除Agent后,再重新添加Agent。

添加Agent(RDS关系型数据库)

对于数据库类型为“MYSQL”和“GaussDB(for MySQL)”的RDS关系型数据库,在添加数据库成功后Agent免安装,您可以直接进行步骤三:添加安全组规则。

当某个应用端连接了多个RDS时, 请按以下方式添加Agent:

  • 连接该应用端所有的RDS都需要添加Agent。
  • 如果连接该应用端的某个数据库已在应用端添加了Agent。其他数据库在添加Agent时,请选择“选择已有Agent”添加方式。
  1. 登录管理控制台。
  2. 在页面上方选择“区域”后,单击,选择安全 > 数据库安全服务,进入数据库安全审计“总览”界面。
  3. 在左侧导航树中,选择数据库列表,进入数据库列表界面。
  4. “选择实例”下拉列表框中,选择需要添加Agent的数据库所属的实例。
  5. 在添加的数据库所在行的“Agent”列,单击“添加Agent”
  6. 在弹出的“添加Agent”对话框中,选择添加方式,相关参数说明如表3所示。

    • “添加方式”选择“选择已有Agent”

      选择“选择已有Agent”添加方式,如果您已在应用端安装了Agent,该数据库添加Agent后,数据库安全审计即可对该数据库进行审计。

    • “添加方式”选择“创建Agent”

      如果待添加Agent的数据库需要创建Agent,请创建新的Agent。

      “安装节点类型”选择“应用端”“安装节点IP”输入应用端内网IP地址。

    表3 添加Agent参数说明(RDS关系型数据库)

    参数名称

    说明

    取值样例

    添加方式

    您可以选择Agent的添加方式。
    • 选择已有Agent

      当某个应用端连接了多个数据库时,如果该应用端的一个数据库已经在应用端添加了Agent。其他数据库在添加Agent时,只需要选择“选择已有Agent”添加方式。

    • 创建Agent

      如果待添加Agent的数据库需要创建Agent,请创建新的Agent。

    创建Agent

    安装节点类型

    “添加方式”选择“创建Agent”时,需配置该参数。

    审计RDS关系型数据库,需要选择“应用端”

    应用端

    安装节点IP

    “安装节点类型”选择“应用端”时,需配置该参数。安装节点IP只能填写一个,每个Agent安装节点IP不同。

    IP地址为应用端内网IP地址。

    IP必须为内网IP地址,支持IPv4和IPv6格式。

    须知:

    当审计RDS关系型数据库且应用端在云下时,代理端将作为应用端,此时,“安装节点IP”需要配置为代理端的IP地址。

    192.168.1.1

    审计网卡名称

    可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。

    指待审计的应用端节点的网卡名称。

    -

    CPU阈值(%)

    可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。

    指待审计的应用端节点的CPU阈值,缺省值为“80”

    须知:

    当服务器的CPU超过设置的阈值,为了保证您业务的正常运行,Agent将自动关闭,停止运行。

    80

    内存阈值(%)

    可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。

    指待审计的应用端节点的内存阈值,缺省值为“80”

    须知:

    当服务器上的内存超过设置的阈值,为了保证您业务的正常运行,Agent将自动关闭,停止运行。

    80

    操作系统

    指待审计的应用端节点的操作系统,“安装节点类型”选择“应用端”时,可以配置该参数,选择“LINUX64”

    LINUX64

  7. 单击“确定”,Agent添加成功。

后续处理

Agent添加完成后,您还需要为数据库安全审计实例所在的安全组添加入方向规则TCP协议(8000端口)和UDP协议(7000-7100端口),使Agent与审计实例之间的网络连通,数据库安全审计才能对添加的数据库进行审计。有关添加安全组规则的详细操作,请参见添加安全组规则