Configurazione di CloudWatch Log Stream

Per impostazione predefinita, Amazon RDS for SQL Server Audit invia i file di audit completati a un bucket Amazon S3. Puoi anche trasmettere i log di controllo ad Amazon CloudWatch Logs, anziché ad Amazon S3 o in aggiunta ad esso.

Lo streaming dei log di controllo su Amazon CloudWatch Logs ti consente di:

• Archivia i record di controllo in uno storage altamente durevole con un periodo di conservazione definito da te.

• Cerca e filtra i dati del registro di controllo e crea filtri metrici e CloudWatch allarmi.

• Condividi i dati di log tra account ed esportali in Amazon S3.

• Trasmetti i dati verso o elaborali in tempo reale con.

Abilitazione CloudWatch dello streaming

CloudWatch lo streaming è controllato da una singola impostazione booleanaPUBLISH_TO_CLOUDWATCH, sull'SQLSERVER_AUDITopzione. Impostalo su per true trasmettere i log di controllo su Amazon Logs o false per CloudWatch interromperli.

Nota

CloudWatch la pubblicazione non richiede un ruolo IAM del cliente. In PUBLISH_TO_CLOUDWATCH tal casotrue, Amazon RDS gestisce la consegna dei log di controllo ad Amazon CloudWatch Logs per te: non è necessario creare o allegare alcun ruolo o autorizzazione IAM. Perché CloudWatch possono essere una destinazione autonoma IAM_ROLE_ARN e S3_BUCKET_ARN sono opzionali: forniscili solo se desideri anche la destinazione S3. È necessario configurare almeno una destinazione (CloudWatchS3 o entrambe).

In un nuovo gruppo di opzioni

Quando aggiungi l'SQLSERVER_AUDITopzione a un gruppo di opzioni (vedi Aggiunta dell'audit in SQL Server alle opzioni dell'istanza database per i passaggi completi), imposta l'PUBLISH_TO_CLOUDWATCHimpostazione sutrue.

Su un gruppo di opzioni esistente

Per abilitare CloudWatch lo streaming su un gruppo di opzioni esistente

1. Apri la console Amazon RDS, scegli Gruppi di opzioni e apri il gruppo di opzioni associato alla tua istanza DB.

2. Scegli Modifica gruppo di opzioni.

3. Sull'SQLSERVER_AUDITopzione esistente, imposta l'PUBLISH_TO_CLOUDWATCHimpostazione sutrue.

4. Salva le modifiche, scegliendo se applicarle immediatamente o durante la successiva finestra di manutenzione.

Poiché un singolo gruppo di opzioni può essere condiviso da più istanze DB, questa modifica ha effetto su ogni istanza DB che utilizza quel gruppo di opzioni. Per modificare solo un'istanza, utilizzate un gruppo di opzioni separato.

Una volta che il gruppo di opzioni è attivo, non è necessario riavviare l'istanza DB: i log di controllo iniziano lo streaming su Amazon CloudWatch Logs non appena viene applicata la modifica. Per interrompere lo streaming, PUBLISH_TO_CLOUDWATCH torna afalse.

Dove vengono visualizzati i registri di controllo in CloudWatch

Amazon RDS pubblica i log di controllo di SQL Server in un gruppo di RDS-managed CloudWatch log denominato:

/aws/rds/instance/db_instance_name/sqlaudit

All'interno di questo gruppo di log, ogni nodo pubblica nel proprio flusso di log, identificato dall'identificatore del nodo. Per le istanze Multi-AZ (Always On), il primario e il secondario scrivono ciascuno in un flusso di log separato nello stesso gruppo di log, distinto dal sqlaudit relativo identificatore di nodo, in modo che gli eventi di audit di entrambe le repliche vengano acquisiti indipendentemente.

Disponibilità della versione

Lo streaming dei log di controllo su CloudWatch è disponibile su qualsiasi versione ed edizione del motore che supporti SQL Server Audit: non ci sono restrizioni di versione aggiuntive oltre al supporto di base di SQL Server Audit.