备份和恢复数据库审计日志

数据库安全审计支持将数据库的审计日志备份到OBS桶，实现高可用容灾。您可以根据需要备份或恢复数据库审计日志。

前提条件

已成功购买数据库安全审计实例，且实例的状态为“运行中”。
已成功开启数据库安全审计功能。

注意事项

执行备份后，审计日志将备份到对象存储服务上，系统自动为您创建桶，桶将按用量收费。

OBS细粒度授权

DBSS备份和恢复需要OBS授权，没有IAM授权相关权限的用户，需要由有Security Administrator权限的用户手动进行授权。

登录管理控制台。
在页面上方选择“区域”后，单击页面左上方的，选择“管理与监管 > 统一身份认证服务”。
选择左侧导航树的“权限管理 > 授权”，单击右上角的“创建自定义策略”。

填写策略参数。策略名称为“DBSS OBS Agency Access”，策略配置方式选择“JSON视图”。填写策略内容如下：

{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "obs:object:PutObjectVersionAcl",
                "obs:object:PutObjectAcl",
                "obs:object:GetObjectVersion",
                "obs:object:GetObject",
                "obs:object:GetObjectVersionAcl",
                "obs:bucket:HeadBucket",
                "obs:object:GetObjectAcl",
                "obs:bucket:CreateBucket",
                "obs:bucket:ListBucket",
                "obs:object:PutObject"
            ],
            "Resource": [
                "OBS:*:*:object:*",
                "OBS:*:*:bucket:OBS桶1的名称",
                "OBS:*:*:bucket:OBS桶2的名称" //可添加多个桶。
            ]
        }
    ]
}

如图1所示。配置完成后单击“确定”。

图1 创建自定义策略

选择左侧导航树上的“委托”，单击右上角“创建委托”。
填写委托参数。委托名称为“dbss_depend_obs_trust”，委托类型选择“云服务”，云服务选择“DBSS”。如图2所示。

图2 创建委托
单击“下一步”，勾选4中创建的自定义策略，将权限（DBSS OBS Agency Access）添加到委托（dbss_depend_obs_trust）中，如图3所示。单击右下角的“下一步”。

图3 选择策略
授权范围选择“所有资源”，单击右下角的“确定”，显示授权成功如图4所示，单击“完成”后等待15分钟授权生效。

图4 完成授权

自动备份数据库审计日志

登录管理控制台。
在页面上方选择“区域”后，单击页面左上方的，选择“安全与合规 > 数据库安全服务”，进入数据库安全审计“总览”界面。
在左侧导航树中，选择“设置”。
在“选择实例”下拉列表框中，选择需要设置备份的实例，选择“备份与恢复”页签。

单击“修改自动备份设置”，在弹出的对话框中，设置自动备份参数，相关参数说明如表1所示。

图5 “设置自动备份”对话框

表1 自动备份参数说明
参数名称	说明	取值样例
自动备份	开启或关闭自动备份。：开启：关闭
备份周期	选择自动备份的周期，可以选择：每天每小时	每天
开始时间	单击，选择开始备份的时间。	2020/01/14 20:27:08
桶名称	设置备份使用的OBS桶名称，可以选择：创建默认桶选择已有桶说明：单击“创建默认桶”，将进行OBS授权，用于审计日志备份导出。审计日志只能导出到DBSS服务创建的桶。	20f18-7a5a-4042
文件导出目录	在OBS桶中创建备份文件的目录。	test

单击“确定”，设置完成。

自动备份设置完成后，当数据库新产生数据时，新产生的数据备份会在1小时后完成备份，届时可查看备份情况。

恢复数据库审计日志

数据库审计日志备份成功后，您可以根据需要恢复数据库的审计日志。

日志数据恢复风险较大，在恢复日志数据前，请您确认备份的日志数据的准确性或完整性。

登录管理控制台。
在页面上方选择“区域”后，单击页面左上方的，选择“安全与合规 > 数据库安全服务”，进入数据库安全审计“总览”界面。
在左侧导航树中，选择“设置”。
在“选择实例”下拉列表框中，选择需要恢复日志的实例，选择“备份与恢复”页签。
在需要恢复数据库审计的备份日志所在的“操作”列，单击“恢复日志”。
在弹出的提示框中，单击“确定”。

风险导出

开启风险导出可以帮助您导出风险等级高的操作日志到对象存储服务上，并自动为您创建桶，桶按照存储用量收费。

开启风险导出前，需进行OBS细粒度授权。

登录管理控制台。
在页面上方选择“区域”后，单击页面左上方的，选择“安全与合规 > 数据库安全服务”，进入数据库安全审计“总览”界面。
在左侧导航树中，选择“设置”。
在“选择实例”下拉列表框中，选择需要导出风险的实例，选择“风险导出”页签。
在需要导出风险日志的数据库右侧操作栏单击，开启风险导出。开启风险导出后DBSS服务将自动创建OBS桶，作为风险日志导出桶。
- 桶名称：可选择“创建默认桶”和“使用已有桶”。
- 导出目录：在OBS桶中创建风险导出文件的目录。
  图6 自动创建OBS桶