Aurora MySQL アドバンスト監査ログ出力
Auroraで特定のDBユーザの操作を監査ログで出力する。
公式Documentを元に設定していく。
準備
まずはRDSクラスタ、パラメータグループ、ユーザを作成する。
VPCに接続用インスタンスを作成するのがめんどくさかったので、パブリックアクセスを有効化した。
- クラスタ & インスタンス設定
| 項目 | 値 |
|---|---|
| クラスタ名 | test-db |
| エンジンバージョン | 8.0.mysql_aurora.3.02.1 |
| マスターユーザ | test |
| インスタンスクラス | db.t4g.medium |
| 可用性 | Auroraレプリカを作成しない |
| パブリックアクセス | あり |
| セキュリティグループ | 開発PCからの3306を許可したものを設定 |
| ログのエクスポート | 監査ログにチェック |
- クラスタパラメータグループ設定
auditという名前のユーザが行った操作を監査ログに出力するように設定する。
設定項目は以下の通り。
| 項目 | 値 |
|---|---|
| server_audit_logging | 1 |
| server_audit_logs_upload | 1 |
| server_audit_incl_users | audit |
| server_audit_events | QUERY |
ちなみに、server_audit_eventsにCONNECTを追加すると、
DBへの接続・切断イベントも記録されるようになるが、
こちらはユーザの指定ができず、全ユーザのものがログ出力される。
- ユーザ作成
$ mysql -u test -h <クラスタエンドポイント> -p
mysql> CREATE USER audit@'%' IDENTIFIED BY 'audit';
mysql> GRANT SELECT,INSERT,UPDATE,DELETE,CREATE ON test.* TO audit@'%';
確認
variable 確認
show variablesで設定内容を確認。
mysql> SHOW VARIABLES LIKE 'server_audit%';
+------------------------------+-----------------+
| Variable_name | Value |
+------------------------------+-----------------+
| server_audit_cw_upload | OFF |
| server_audit_events | QUERY,QUERY_DML |
| server_audit_excl_users | |
| server_audit_incl_users | audit |
| server_audit_logging | ON |
| server_audit_mode | 0 |
| server_audit_query_log_limit | 65536 |
+------------------------------+-----------------+
7 rows in set (0.01 sec)
なぜかserver_audit_cw_uploadがOFFになっているが、、、
とりあえずパラメータグループの内容は反映されているっぽい(cwlogのやつ以外)。
クエリ実行してみる
$ mysql -u audit -h <クラスタエンドポイント> -paudit
mysql> CREATE TABLE test.audit_test (id int, text varchar(10));
mysql> INSERT INTO test.audit_test VALUES (1, 'test');
mysql> SELECT * FROM test.audit_test;
+------+------+
| id | text |
+------+------+
| 1 | test |
+------+------+
2 rows in set (0.01 sec)
CloudWatch Logs を確認
特にしていなければロググループに/aws/rds/cluster/<クラスタ名>/auditというグループができている。
中を見てみると、<インスタンス名>.audit.log.xみたいなログストリームができている。
ログを確認すると、下記のようにQUERYが記録されていることが確認できる。
1667508480539207,<インスタンス名>,audit,<接続元IP>,15659,QUERY,test,'create table audit_test',4028
1667508596853240,<インスタンス名>,audit,<接続元IP>,16684,QUERY,test,'insert audit_test values(1, \'test\')',0
1667511851715505,<インスタンス名>,audit,<接続元IP>,15617,QUERY,,'SELECT * from test.audit_test',0
以上！
server_audit_cw_upload の設定が OFF になったままなのが引っかかったが、
問題なく特定ユーザの特定クエリを監査ログとしてCloudWatchLogsにログ転送できた。
後片付けは忘れずに。。。