ApsaraDB for MongoDB:Activer les journaux d'audit

Cas d'utilisation

Prérequis

• Votre instance doit être une instance de type Replica Set ou un cluster sharded. La fonctionnalité de journaux d'audit ne prend pas en charge les instances standalone.

• Log Service est activé. Pour obtenir des instructions, consultez la rubrique Prise en main.

• Si vous activez les journaux d'audit en tant qu'utilisateur RAM, vous devez accorder les autorisations suivantes à cet utilisateur :

  • AliyunLogFullAccess : il s'agit d'une stratégie système. Pour savoir comment accorder cette autorisation, consultez la rubrique Accorder des autorisations à un utilisateur RAM.

  • dds:CheckServiceLinkedRole : il s'agit d'une stratégie personnalisée. Vous devez d'abord créer cette stratégie dans la console Resource Access Management (RAM), puis l'accorder à l'utilisateur RAM. Pour créer une stratégie personnalisée à l'aide de l'éditeur de script, consultez la rubrique Créer des stratégies personnalisées. Pour savoir comment accorder l'autorisation, consultez la rubrique Accorder des autorisations à un utilisateur RAM.

    Le script suivant correspond à la stratégie dds:CheckServiceLinkedRole.

    {
    	"Version": "1",
    	"Statement": [
    		{
    			"Effect": "Allow",
    			"Action": "dds:CheckServiceLinkedRole",
    			"Resource": "*"
    		}
    	]
    }

• Si vous utilisez un utilisateur RAM pour accéder aux journaux d'audit, vous devez lui accorder l'autorisation AliyunLogFullAccess ou AliyunLogReadOnlyAccess. Pour savoir comment accorder ces autorisations, consultez la rubrique Accorder des autorisations à un utilisateur RAM.

Notes d'utilisation

• Après avoir activé la fonctionnalité de journaux d'audit, le système enregistre les informations d'audit pour les opérations d'écriture. Cela peut augmenter la charge de performance et provoquer des variations de latence sur votre instance ApsaraDB for MongoDB. Pour les instances exécutant MongoDB 6.0 ou une version ultérieure, la surcharge de performance peut atteindre 15 % à 20 %. Pour les instances exécutant une version antérieure, la surcharge peut être plus élevée. Pour plus d'informations, consultez la rubrique Analyse des performances des journaux d'audit.

  Remarque

  Si votre application effectue un volume élevé d'opérations d'écriture, nous vous recommandons d'activer cette fonctionnalité uniquement pour le dépannage ou les audits de sécurité afin d'éviter toute dégradation des performances.

• Une fois la fonctionnalité de journaux d'audit activée, seuls les types d'opération admin et slow sont sélectionnés par défaut. Pour modifier les types d'opération audités, consultez la rubrique Modifier les types d'opération pour les journaux d'audit.

• Le paramètre de période de rétention des journaux s'applique à toutes les instances ApsaraDB for MongoDB de la région actuelle. Tous les autres paramètres s'appliquent uniquement à l'instance actuelle.

• Si vous avez activé la version d'essai gratuit de la fonctionnalité de journaux d'audit et que vous avez besoin d'une période de rétention plus longue ou de plus d'espace de stockage, vous pouvez passer à la version officielle. Pour obtenir des instructions, consultez la rubrique Passer à la version officielle.

Facturation

La version officielle de la fonctionnalité de journaux d'audit est facturée en paiement à l'utilisation, en fonction de l'utilisation du stockage et de la période de rétention. Les tableaux suivants indiquent les prix par région.

Vous pouvez réduire les coûts liés aux journaux d'audit en utilisant les méthodes suivantes.

Procédure

1. Connectez-vous à la console ApsaraDB for MongoDB.

2. Dans le volet de navigation de gauche, cliquez sur Replica Set Instances ou sur Sharded Cluster Instances selon le type de votre instance.

3. Dans le coin supérieur gauche de la page, sélectionnez le groupe de ressources et la région où se trouve l'instance.

4. Cliquez sur l'ID de l'instance, ou cliquez sur Manage dans la colonne Actions correspondante.

5. Dans le volet de navigation de gauche, choisissez Data Security > Audit Logs.

6. Sur la page Latest Audit Logs, définissez la Log Retention Period.

   • Vous pouvez définir la période de rétention de 1 à 365 jours. La valeur par défaut est de 30 jours.

   • Assurez-vous que la période de rétention sélectionnée convient à toutes les instances de la région.

7. Cliquez sur Activate.

   Remarque

   Lorsque vous activez la fonctionnalité de journaux d'audit, ApsaraDB for MongoDB reçoit automatiquement le rôle lié au service AliyunServiceRoleForMongoDB pour accéder aux journaux depuis Log Service.

8. Dans la boîte de dialogue Activate, lisez le message et cliquez sur Confirm.

Étapes suivantes

Référence API

Documentation connexe

• Interroger les journaux d'audit

• Télécharger les journaux d'audit

• Désactiver la fonctionnalité de journaux d'audit

• Analyse des performances des journaux d'audit