Supporto per MySQL del plug-in per audit MariaDB

Amazon RDS offre un plug-in per audit per le istanze database MySQL basate sul plug-in per audit MariaDB open source. Per ulteriori informazioni, consulta Audit Plugin for MySQL Server GitHub repository.

Nota

Il plugin per audit per MySQL è basato sul plugin per audit MariaDB. In questo articolo, lo chiamiamo plugin per audit MariaDB.

Il plug-in per audit MariaDB registra le attività del database, inclusi gli utenti che accedono al database e le query eseguite sul database. Il record con le attività del database è archiviato in un file di log.

Nota

Al momento, il plug-in di audit MariaDB è supportato solo nelle seguenti versioni di RDS for MySQL:

• MySQL 8.0.28 e versioni successive alla 8.0

• Tutte le versioni di MySQL 5.7

Impostazioni dell'opzione relativa al plug-in per audit

Amazon RDS supporta le seguenti impostazioni per l'opzione relativa al plug-in per audit MariaDB.

Impostazione opzioni	Valori validi	Valore predefinito	Descrizione
SERVER_AUDIT_FILE_PATH	/rdsdbdata/log/audit/	/rdsdbdata/log/audit/	La posizione del file di log. Il file di log contiene il record dell'attività specificata in SERVER_AUDIT_EVENTS. Per ulteriori informazioni, consulta Visualizzazione ed elenco dei file di log del database e File di log del database MySQL.
SERVER_AUDIT_FILE_ROTATE_SIZE	1–1000000000	1000000	La dimensione in byte che, una volta raggiunta, provoca la rotazione del file. Per ulteriori informazioni, consulta Panoramica dei registri di database RDS per MySQL.
SERVER_AUDIT_FILE_ROTATIONS	0–100	9	Il numero di rotazioni dei log da salvare se server_audit_output_type=file. Se impostata su 0, la rotazione del file di log non viene mai eseguita. Per ulteriori informazioni, consulta Panoramica dei registri di database RDS per MySQL e Download di un file di log di database.
SERVER_AUDIT_EVENTS	CONNECT, QUERY, QUERY_DDL, QUERY_DML, QUERY_DML_NO_SELECT, QUERY_DCL	CONNECT, QUERY	I tipi di attività da registrate nel log. Viene registrata anche l'installazione del plug-in per audit MariaDB. CONNECT: registrazione delle connessioni al database con esito positivo e negativo e delle disconnessioni dal database. QUERY: registrazione del testo di tutte le query eseguite sul database. QUERY_DDL: simile all'evento QUERY, ma restituisce solo le query DDL (Data Definition Language), (CREATE, ALTER e così via). QUERY_DML: simile all'evento QUERY, ma restituisce solo le query DML (Data Manipulation Language), (INSERT, UPDATE, e così via e anche SELECT). QUERY_DML_NO_SELECT: simile all'evento QUERY_DML ma non registra le query SELECT. L'impostazione QUERY_DML_NO_SELECT è supportata solo per RDS for MySQL 5.7.34 e versioni successive alla 5.7 e 8.0.25 e successive alle versioni 8.0. QUERY_DCL: simile all'evento QUERY, ma restituisce solo le query DCL (Data Control Language), (GRANT, REVOKE e così via). Per MySQL, TABLE non è supportato.
SERVER_AUDIT_INCL_USERS	Più valori separati da virgola	Nessuna	Sono incluse solo le attività degli utenti specificati. Per impostazione predefinita, l'attività viene registrata per tutti gli utenti. SERVER_AUDIT_INCL_USERS e SERVER_AUDIT_EXCL_USERS si escludono a vicenda. Se si aggiungono valori a SERVER_AUDIT_INCL_USERS, è necessario assicurarsi che non venga aggiunto alcun valore a SERVER_AUDIT_EXCL_USERS.
SERVER_AUDIT_EXCL_USERS	Più valori separati da virgola	Nessuna	Sono escluse le attività degli utenti specificati. Per impostazione predefinita, l'attività viene registrata per tutti gli utenti. SERVER_AUDIT_INCL_USERS e SERVER_AUDIT_EXCL_USERS si escludono a vicenda. Se si aggiungono valori a SERVER_AUDIT_EXCL_USERS, è necessario assicurarsi che non venga aggiunto alcun valore a SERVER_AUDIT_INCL_USERS. L'utente rdsadmin esegue query sul database ogni secondo per verificare l'integrità del database. In base alle altre impostazioni, questa attività può causare un rapido ed eccessivo aumento delle dimensioni del file di log. Se non desideri registrare questa attività, aggiungi l'utente rdsadmin all'elenco SERVER_AUDIT_EXCL_USERS. Nota CONNECTL'attività viene sempre registrata per tutti gli utenti, anche se l'utente è specificato per l'impostazione di questa opzione.
SERVER_AUDIT_LOGGING	ON	ON	La registrazione è attiva. L'unico valore valido è ON. Amazon RDS non supporta la disattivazione del logging. Se desideri disattivare la registrazione, rimuovi il plug-in per audit MariaDB. Per ulteriori informazioni, consulta Rimozione del plug-in per audit MariaDB.
SERVER_AUDIT_QUERY_LOG_LIMIT	0–2147483647	1.024	Il limite di lunghezza della stringa di query in un record.

Aggiunta del plug-in per audit MariaDB

Di seguito è riportato il processo generale per aggiungere il plug-in per audit MariaDB a un'istanza database:

• Creare un nuovo gruppo di opzioni oppure copiare o modificare un gruppo di opzioni esistente

• Aggiungere l'opzione al gruppo di opzioni

• Associare il gruppo di opzioni a questa istanza database

Dopo aver aggiunto il plug-in per audit MariaDB, non dovrai riavviare la tua istanza database. Non appena il gruppo di opzioni è attivo, inizia immediatamente l'audit.

Importante

L'aggiunta del plug-in per audit MariaDB a un'istanza database può causare un errore. Consigliamo di aggiungere il plug-in per audit MariaDB durante una finestra di manutenzione o durante o un periodo di carico di lavoro del database basso.

Per aggiungere il plug-in per audit MariaDB

1. Determinare il gruppo di opzioni che si desidera usare. È possibile creare un nuovo gruppo di opzioni oppure usare un gruppo di opzioni esistente. Se si desidera usare un gruppo di opzioni esistente, puoi passare alla fase successiva. Altrimenti, creare un gruppo di opzioni database personalizzato. Scegliere mysql per Motore e selezionare 5.7 o 8.0 per Versione del motore principale. Per ulteriori informazioni, consulta Creazione di un gruppo di opzioni.

2. Aggiungere l'opzione MARIADB_AUDIT_PLUGIN al gruppo di opzioni e configurare le impostazioni dell'opzione. Per ulteriori informazioni sull'aggiunta di opzioni, consulta Aggiunta di un'opzione a un gruppo di opzioni. Per ulteriori informazioni su ciascuna impostazione, consulta Impostazioni dell'opzione relativa al plug-in per audit.

3. Applicare il gruppo di opzioni a un'istanza database nuova o esistente.

   • Per una nuova istanza database, si applica il gruppo di opzioni quando viene avviata l'istanza. Per ulteriori informazioni, consulta Creazione di un'istanza database Amazon RDS.

   • Per un'istanza database esistente, viene applicato il gruppo di opzioni modificando l'istanza e collegando il nuovo gruppo di opzioni. Per ulteriori informazioni, consulta Modifica di un'istanza database Amazon RDS.

Formato dei registri di verifica

I file di log sono rappresentati come file con valori delimitati da virgole (CSV) in formato UTF-8.

Suggerimento

Le voci dei log non sono in ordine sequenziale. Per ordinare le voci, utilizza il valore del timestamp. Per visualizzare gli ultimi eventi, potrebbe essere necessario esaminare tutti i file di log. Per una maggiore flessibilità nell'ordinamento e nella ricerca dei dati dei registri, attiva l'impostazione per caricare i registri di verifica su CloudWatch e visualizzarli utilizzando l'interfaccia CloudWatch.

Per visualizzare i dati di verifica con più tipi di campi e con output in formato JSON, puoi inoltre utilizzare la caratteristica Database Activity Streams (Flussi di attività di database). Per ulteriori informazioni, consulta Monitoraggio di Amazon RDS tramite i flussi di attività del database.

I file dei log di audit includono le seguenti informazioni delimitate da virgola, in righe, nell'ordine specificato:

Campo	Descrizione
timestamp	YYYYMMDD seguito da HH:MI:SS (orologio a 24 ore) per l'evento registrato.
serverhost	Il nome dell'istanza per cui l'evento viene registrato.
username	Il nome utente connesso dell'utente.
host	L'host da cui l'utente ha effettuato la connessione.
connectionid	Il numero di ID di connessione per l'operazione registrata.
queryid	Il numero di ID di query che può essere utilizzato per trovare gli eventi di tabella relazionale e le query correlate. Per gli eventi TABLE, vengono aggiunte più righe.
operation	Il tipo di operazione registrata. I valori possibili sono CONNECT, QUERY, READ, WRITE, CREATE, ALTER, RENAME e DROP.
database	Il database attivo, come impostato dal comando USE.
oggetto	Per gli eventi QUERY, questo valore indica la query eseguita dal database. Per gli eventi TABLE, indica il nome di tabella.
retcode	Il codice restituito dell'operazione di registrazione.
connection_type	Stato di sicurezza della connessione al server. I valori possibili sono: 0: Undefined 1: TCP/IP 2: Socket 3: Named pipe 4: SSL/TLS 5: Memoria condivisa Questo campo è incluso solo per RDS for MySQL versione 5.7.34 e versioni 5.7 successive e tutte le versioni 8.0.

Visualizzazione e download del log del plug-in per audit MariaDB

Dopo avere abilitato il plug-in per audit MariaDB, potrai accedere ai risultati nei file di log nello stesso modo in cui accedi a qualsiasi altro file di log basato su testo. I file di log per audit si trovano in /rdsdbdata/log/audit/. Per ulteriori informazioni sulla visualizzazione del file di log nella console, consulta Visualizzazione ed elenco dei file di log del database. Per informazioni sul download del file di log, consulta Download di un file di log di database.

Modifica delle impostazioni del plug-in per audit MariaDB

Dopo aver abilitato il plug-in per audit MariaDB, puoi modificare le impostazioni. Per ulteriori informazioni su come modificare le impostazioni dell'opzione, consulta Modifica di un'impostazione di un'opzione. Per ulteriori informazioni su ciascuna impostazione, consulta Impostazioni dell'opzione relativa al plug-in per audit.

Rimozione del plug-in per audit MariaDB

Amazon RDS non supporta la disattivazione della registrazione nel plug-in per audit MariaDB. Puoi tuttavia rimuovere il plug-in da un'istanza database. Dopo aver rimosso il plug-in per audit MariaDB, l'istanza database viene riavviata automaticamente per arrestare l'audit.

Per rimuovere il plug-in per audit MariaDB da un'istanza database, procedi in uno dei seguenti modi:

• Rimuovere l'opzione relativa al plug-in per audit MariaDB dal gruppo di opzioni a cui appartiene. Questa modifica coinvolge tutte le istanze database che usano il gruppo di opzioni. Per ulteriori informazioni, consulta Rimozione di un'opzione da un gruppo di opzioni

• Modificare l'istanza database e specificare un diverso gruppo di opzioni che non comprenda il plug-in. Questa modifica coinvolge una singola istanza database. È possibile specificare il gruppo di opzioni predefinito (vuoto) o un gruppo di opzioni personalizzato diverso. Per ulteriori informazioni, consulta Modifica di un'istanza database Amazon RDS.