# 流程指引 #### 操作场景 本节内容通过介绍支持安装Agent和免安装Agent的数据库类型及版本、以及配置数据库安全审计流程，指引您快速启用数据库安全审计服务DBSS。 数据库安全审计支持对华为云上的ECS/BMS自建数据库和RDS关系型数据库进行审计。 #### 约束与限制 - 数据库安全审计不支持跨区域（Region）使用，待审计的数据库必须和购买申请的数据库安全审计实例在同一区域。 - 通过Agent审计自建数据库或云上数据库时，请关闭数据库的SSL，否则无法正常进行审计。关闭数据库SSL的详细操作，请参见[如何关闭数据库SSL](https://support.huaweicloud.com/dbss_faq/dbss_01_0283.html)。 - 有关审计数据的保存说明，请参见[数据库安全审计的审计数据可以保存多久](https://support.huaweicloud.com/dbss_faq/dbss_01_0225.html)。 #### 支持免安装Agent数据库类型及版本 部分数据库类型及版本支持免安装Agent方式，如[表1]所示。 表1支持免Agent安装的关系型数据库 | 数据库类型 | 支持的版本 | |:---|:---| | TaurusDB | 默认都支持 | | RDS for SQLServer （华为云审计实例：23.02.27.182148 及其之后的版本支持） | 默认都支持 | | RDS for MySQL | - 5.6（5.6.51.1及以上版本） - 5.7（5.7.29.2及以上版本） - 8.0（8.0.20.3及以上版本） | | DWS | - 8.2.0.100及以上版本 | | PostgreSQL （华为云审计实例：23.04.17.123301及其之后的版本支持） 须知： 当SQL语句大小超过4KB审计时会被截断，会导致审计到的SQL语句不完整。 | - 14（14.4及以上版本） - 13（13.6及以上版本） - 12（12.10及上版本） - 11（11.15及以上版本） - 9.6（9.6.24及以上版本） - 9.5（9.5.25及以上版本） | | RDS for MariaDB | 默认都支持 | ![](https://support.huaweicloud.com/usermanual-dbss/public_sys-resources/note_3.0-zh-cn.png) - 免安装Agent模式配置简单、易操作，但较之安装了Agent的DBSS实例，支持的功能上存在如下差异： - 统计会话数量时，无法统计成功登录、与失败登录的会话个数。 - 无法获取数据库访问时客户端的端口号。 - 由于DWS服务具有日志审计开关的权限控制策略，只有华为云账号或拥有Security Administrator权限的用户才能开启或者关闭DWS数据库审计开关。 - GaussDB默认不开启ddl，用户需要参见[GaussDB用户手册](https://support.huaweicloud.com/wtsnew-gaussdb/index.html)操作开启如下配置： - audit_system_object = 130023423，操作请参见：[GaussDB开发指南](https://support.huaweicloud.com/distributed-devg-v2-gaussdb/gaussdb-12-1168.html)。 - datestyle = ISO, YMD，保证日期格式为yyyy-MM-dd HH:mm:ss+Z。 #### 支持安装Agent数据库类型及版本 数据库安全审计支持的数据库类型及版本如[表2]所示。 表2数据库安全审计支持的数据库类型和版本 | 数据库类型 | 版本 | |:---|:---| | MySQL | - 5.0、5.1、5.5、5.6、5.7 - 8.0（8.0.11及以前的子版本） - 8.0.30 - 8.0.33 - 8.0.35 - 8.1.0 - 8.2.0 | | Oracle | - 11g 11.1.0.6.0、11.2.0.1.0、11.2.0.2.0、11.2.0.3.0、11.2.0.4.0 - 12c 12.1.0.2.0、12.2.0.1.0 - 19c | | PostgreSQL | - 7.4 - 8.0、8.1、8.2、8.3、8.4 - 9.0、9.1、9.2、9.3、9.4、9.5、9.6 - 10.0、10.1、10.2、10.3、10.4、10.5 - 11 - 12 - 13 - 14 | | SQL Server | - 2008 - 2012 - 2014 - 2016 - 2017 | | TaurusDB | 8.0 | | DWS | - 1.5 - 8.1 | | DAMENG | DM8 | | KINGBASE | V8 | | SHENTONG | V7.0 | | GBase 8a | V8.5 | | GBase 8s | V8.8_3.3.0_RHEL6 | | Gbase XDM Cluster | V8.0 | | Greenplum | V6.0 | | HighGo | V6.0 | | GaussDB | - 1.3企业版 - 1.4企业版 - 2.8企业版 - 3.223企业版 | | MongoDB | V5.0 | | DDS | 4.0 | | Hbase （华为云审计实例：23.02.27.182148及其之后的版本支持） | - 1.3.1 - 2.2.3 | | Hive （华为云审计实例：23.02.27.182148及其之后的版本支持） | - 1.2.2 - 2.3.9 - 3.1.2 - 3.1.3 | | MariaDB | 10.6 | | TDSQL | 10.3.17.3.0 | | Vastbase | G100 V2.2 | | TiDB | - V4 - V5 - V6 - V7 - V8 | #### 配置数据库安全审计流程 首先，您需要创建一个数据库安全审计实例，然后连接数据库与新创建的数据库安全审计实例，连接成功后，即可开启数据库安全审计。 - [免安装Agent] 图1免安装Agent配置流程 ![](https://support.huaweicloud.com/usermanual-dbss/zh-cn_image_0000002721042003.png) 表3免安装Agent使用数据库安全审计操作步骤 | 步骤 | 配置操作 | 说明 | |:---|:---|:---| | 1 | [添加数据库](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0186.html) | 购买数据库安全服务后，您需要将待审计的数据库添加到数据库安全审计实例。 | | 2 | [开启数据库安全审计](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0356.html) | 您需要开启数据库安全审计功能，将添加的数据库连接到数据库安全审计实例，才能使用数据库安全审计功能。 | | 3 | [查看审计数据](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0253.html) | 数据库安全审计默认提供一条"全审计规则"的审计范围，可以对连接数据库安全审计实例的所有数据库进行审计。开启数据库安全审计后，您可以在数据库安全审计界面查看被添加的数据库的审计结果。 须知： 您可以根据业务需求设置数据库审计规则。有关配置审计规则的详细操作，请参见[管理审计范围规则](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0190.html)。 | - [安装Agent] 图2安装Agent配置流程图 ![](https://support.huaweicloud.com/usermanual-dbss/zh-cn_image_0000002691322588.png) 表4安装Agent快速使用数据库安全审计操作步骤 | 步骤 | 配置操作 | 说明 | |:---|:---|:---| | 1 | [步骤一：添加数据库](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0186.html) | 购买数据库安全审计后，您需要将待审计的数据库添加到数据库安全审计实例。 | | 2 | [步骤二：添加Agent](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0188.html) | 添加数据库后，您需要为添加的数据库选择Agent的添加方式。 数据库安全审计支持对华为云上的ECS/BMS自建数据库和RDS关系型数据库进行审计，请根据您在华为云上实际部署的数据库选择Agent添加方式。 | | 3 | [步骤三：下载并安装Agent](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0314.html) | 安全组规则添加完成后，您还需要下载Agent，并根据Agent的添加方式在数据库端或应用端安装Agent。 | | 4 | [步骤四：添加安全组规则](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0354.html) | Agent添加完成后，您还需要为数据库安全审计实例所在的安全组添加入方向规则TCP协议（8000端口）和UDP协议（7000-7100端口），使Agent与审计实例之间的网络连通，数据库安全审计才能对添加的数据库进行审计。 | | 5 | [步骤五：开启数据库安全审计](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0356.html) | Agent安装成功后，您还需要开启数据库安全审计功能，将添加的数据库连接到数据库安全审计实例，才能使用数据库安全审计功能。 | | 6 | [查看审计数据](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0253.html) | 数据库安全审计默认提供一条"全审计规则"的审计范围，可以对连接数据库安全审计实例的所有数据库进行审计。开启数据库安全审计后，您可以在数据库安全审计界面查看被添加的数据库的审计结果。 须知： 您可以根据业务需求设置数据库审计规则。有关配置审计规则的详细操作，请参见[管理审计范围规则](https://support.huaweicloud.com/usermanual-dbss/dbss_01_0190.html)。 | #### 容器化部署方式 所有数据库类型及版本均支持使用容器化部署方式，开启DBSS服务。 具体操作请参见[容器化部署数据库安全审计Agent](https://support.huaweicloud.com/bestpractice-dbss/dbss_06_0007.html)。 #### 效果验证 当您将添加的数据库连接到数据库安全审计实例后，数据库安全审计将记录被添加的数据库的操作行为。您可以在数据库安全审计界面查看被添加的数据库的审计结果。 #### 相关文档 - 如何选择Agent添加方式以及安装Agent的节点的详细介绍，请参见[如何选择数据库安全审计的Agent安装节点](https://support.huaweicloud.com/dbss_faq/dbss_01_0282.html)。 - 如果审计功能无法正常使用，请参见[无法使用数据库安全审计](https://support.huaweicloud.com/dbss_faq/dbss_01_0235.html)章节进行处理。