こんにちは。インサイトテクノロジーの松尾です！

本投稿ではマルチ AZ な RDS ( MySQL / MariaDB / PostgreSQL / Aurora ) における監査ログの対応状況について紹介します！

はじめに

Amazon RDS における監査ログの取得については大きく分けてデータベースアクティビティストリーム ( DAS, Database Activity Streams ) と DB の標準の機能によるものに分けられます。また DB の標準機能についても、マルチ AZ の構成方式により使用可否が制限を受けることが確認できたので、まとめて記載することにしました。

※2023/07/19時点で調べた内容です。

RDS のマルチ AZ 構成とは

非常にざっくりまとめると以下となります。

シングル構成
マルチ AZ DB インスタンス
- 1 つのスタンバイを備えたマルチ AZ
- スタンバイ DB にはアクセスできない (Active-Standby構成)
マルチ AZ DB クラスター
- 2 つの読み取り可能なスタンバイを備えたマルチ AZ
- 合計 3 インスタンス
リードレプリカ
- 読み取り頻度の高いデータベースのワークロードのスケールアウト
- ※正確にはマルチ AZ 構成の一部ではないかもしれません。。。

マルチ AZ 構成と監査ログ対応状況

以下にまとめます。

RDS	Cluster	Audit log	DAS	備考
RDS for MySQL	Single	〇	-
RDS for MySQL	マルチ AZ DB インスタンス	〇	-
RDS for MySQL	マルチ AZ DB クラスター	×	-	マルチ AZ DB クラスター構成ではオプショングループがサポートされていない
RDS for MySQL	リードレプリカ	〇	-	オプショングループはソースのものが引き継がれる
RDS for MariaDB	Single	〇	-
RDS for MariaDB	マルチ AZ DB インスタンス	〇	-
RDS for MariaDB	マルチ AZ DB クラスター	-	-	RDS for MariaDB ではマルチ AZ DB クラスター構成がサポートされていない
RDS for MariaDB	リードレプリカ	〇	-	オプショングループはソースのものが引き継がれる
RDS for PostgreSQL	Single	〇	-
RDS for PostgreSQL	マルチ AZ DB インスタンス	〇	-
RDS for PostgreSQL	マルチ AZ DB クラスター	〇	-
RDS for PostgreSQL	リードレプリカ	〇	-
Aurora MySQL		〇	〇	Aurora Serverless v2はDAS不可
Aurora PostgreSQL		〇	〇	Aurora Serverless v2はDAS不可

上記のように、マルチ AZ DB クラスター構成においては、MySQL と PostgreSQL とで対応状況が異なる結果となりました。DAS は MySQL / PostgreSQL については Aurora のみで使用可能な機能です。

Aurora でもインスタンスが一つの場合はシングル、レプリカがある場合はマルチ AZ と呼ぶケースもあるようですが、シングルでもクラスタとしての動作が基本なので分けていません。

参考資料

おわりに

マルチ AZ な RDS における監査ログの対応状況について紹介しました。
きっかけとして、RDS for MySQL のマルチ AZ DB クラスターにおいてオプショングループがサポートされておらず、監査ログを取得できないことが判明したことがありました。本番利用においてはマルチ AZ で可用性を高めたりスケーラビリティを高めたりなどを検討されるかと思いますが、使用できない機能もあったりするので注意が必要ですね。