データベースアクティビティストリームを調べてみた

Posted at 2026-01-31

背景・目的

Auroraのアクティビティストリームを調べる機会があったので、整理します。

下記に特徴をまとめます。

特徴	説明
目的	・データベースの保護・コンプライアンスおよび規制要件を満たす・データベースアクティビティをモニタリングツールに統合・監査アクティビティのアラーム設定
セキュリティ上の特徴	・内部脅威からの保護・重要なポイント
機能	・有効化のレベルは、クラスタレベル・配信先はKDS ・リアルタイム性はニアリアルタイム

下記を基に整理します。

目的は下記の通り
- データベースの保護
- コンプライアンスおよび規制要件を満たす
- データベースアクティビティをモニタリングツールに統合
- 監査アクティビティのアラーム設定
セキュリティ上の特徴
- 内部脅威からの保護
  - データストリームへの管理者アクセスを制御可能
    - DBA（データベース管理者）でも以下の操作ができない
      - ストリームの収集
      - ストリームの送信
      - ストリームの保存
      - ストリームの処理
- 重要なポイント
  - 外部脅威だけでなく、内部脅威（特権ユーザーによる不正）からも保護
  - DBAが監査ログを改ざんできない仕組み
  - 職務分離（Separation of Duties）の実現

基本動作
- 有効化レベル
  - クラスターレベル（クラスター内のすべてのDBインスタンスで有効）
- 配信先
  - Amazon Kinesis データストリームに自動作成しプッシュする
- リアルタイム性
  - ニアリアルタイムでアクティビティを配信
データフロー
1. Aurora DB クラスター → Kinesis データストリーム（自動作成）
2. Kinesis → AWS サービス（Data Firehose、Lambda など）
3. データの保存・処理
コスト
- DAS機能自体は無料
- KDSの料金はかかる
グローバルデータベースの場合
- 各DBクラスターで個別にDASを開始
- 各クラスターが自リージョン内の独自Kinesis ストリームに配信
- フェイルオーバー中も通常通り監査継続
コンプライアンスアプリケーション連携
- IBM Security Guardium
- Imperva SecureSphere Database Audit and Protection
- これらのアプリケーションでアラートと監査アクティビティを生成可能

動作
- イベント生成後、セッションは即座に通常のアクティビティに戻る
- イベントはバックグラウンドで永続化
- エラー発生時はRDSイベントで通知（イベントレコード損失の可能性がある時間枠を示す）
優先順位
- データベースパフォーマンス > アクティビティストリーミング精度
対応エンジン
- Aurora PostgreSQL
- Aurora MySQL

動作
- イベント生成後、永続化されるまでセッションがブロック
- 永続化できない場合は通常のアクティビティに戻る
- エラー発生時と復旧時にRDSイベントで通知
優先順位
- アクティビティストリーミング精度 > データベースパフォーマンス
対応エンジン
- Aurora PostgreSQL

Aurora MySQLは非対応

データベースアクティビティストリームを整理してみました。次回は実際に利用してみます。