Interroger les journaux d'audit d'une instance par condition de filtre - Tair (Redis® OSS-Compatible)

Les journaux d'audit enregistrent les opérations d'écriture, de modification et de suppression des données sur votre instance Tair (compatible avec OSS Redis) ; les opérations de lecture ne sont pas journalisées. Utilisez-les pour enquêter sur des pics de ressources inattendus, suivre les modifications de données ou résoudre les problèmes d'accès.

Les journaux d'audit peuvent inclure des enregistrements d'opérations système internes. Ces enregistrements ne correspondent pas à des tentatives d'accès externes et ne nécessitent aucune action :

Compte aurora : compte système backend utilisé par Tair (compatible avec OSS Redis) pour effectuer des opérations de maintenance système telles que les sauvegardes et la surveillance. Ce compte n'est pas exposé aux utilisateurs, sa présence dans les journaux d'audit est donc un comportement système normal.
IP hôte du nœud de base de données : une adresse IP figurant dans les journaux d'audit en dehors de votre liste d'autorisation peut correspondre à l'IP hôte d'un nœud de base de données. Cela reflète une opération système interne et non un accès externe.

La console affiche au maximum 2 000 entrées de journal. Pour interroger des jeux de résultats plus volumineux, utilisez la console Simple Log Service .

Précautions

Les journaux d'audit enregistrent uniquement les opérations d'écriture (telles que SET, DEL et HSET) et n'enregistrent pas les opérations de lecture (telles que GET et HGET).
L'activation des journaux d'audit peut avoir un impact de 5 % à 15 % sur les performances de l'instance. Pour plus d'informations, consultez la section Présentation des journaux d'audit.

Prérequis

Avant de commencer, assurez-vous que la fonctionnalité de journal d'audit est activée sur l'instance.

Accorder des autorisations à l'utilisateur RAM

Ignorez cette section si vous vous connectez avec votre compte racine Alibaba Cloud.

Les utilisateurs RAM qui accèdent aux journaux d'audit doivent disposer des autorisations de gestion de Simple Log Service. Accordez l'une des autorisations suivantes :

Politique système AliyunLogFullAccess : accorde l'accès à tous les Logstores. Consultez la section Accorder des autorisations.

Une politique personnalisée limitée aux journaux d'audit Tair (compatible avec OSS Redis) uniquement :

{
  "Version": "1",
  "Statement": [
    {
      "Action": "log:*",
      "Resource": "acs:log:*:*:project/nosql-*",
      "Effect": "Allow"
    }
  ]
}

Consulter les journaux d'audit

Connectez-vous à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région où l'instance est déployée. Recherchez l'instance et cliquez sur son ID.
Dans le volet de navigation de gauche, choisissez Logs > Audit Logs.
Sur la page Audit Logs, examinez les entrées de journal de l'instance.

Filtrer les journaux

Utilisez des conditions de filtre pour restreindre les enregistrements de journal.

Accédez à la page Audit Logs de votre instance (consultez la section Consulter les journaux d'audit).
Dans la section de filtre, définissez une ou plusieurs des conditions suivantes :

Condition de filtre

Description

Keyword

Filtrez par adresse IP client, commande, compte ou autres champs étendus. Saisissez la valeur complète — les correspondances partielles ne sont pas prises en charge. Par exemple, saisissez 192.168.*.1 (et non 192.168), ou AUTH (et non au). Si le mot-clé contient deux-points (:), placez-le entre guillemets doubles, par exemple "userId:1".

Type

redis_audit_log : journaux provenant des shards de données. redis_proxy_audit_log : journaux provenant des serveurs proxy. Disponible uniquement pour les instances utilisant une architecture en cluster en mode proxy ou une architecture de répartition lecture/écriture. Pour ces instances, l'adresse client par défaut est l'IP du proxy. Pour récupérer l'IP client d'origine, définissez le paramètre ptod_enabled sur 1. Consultez la section Présentation des paramètres de configuration.

Account

Le compte utilisé pour se connecter à l'instance. Le compte par défaut s'affiche sous la forme null.

Client IP

L'adresse IP du client se connectant à l'instance.

La base de données dont vous souhaitez interroger les journaux.

Interroger les journaux par plage horaire

Accédez à la page Audit Logs de votre instance (consultez la section Consulter les journaux d'audit).
Cliquez sur Select Time Range et spécifiez la plage horaire.

Référence API

API

Description

ModifyAuditLogConfig

Activez ou désactivez les journaux d'audit et définissez la période de rétention des journaux.

DescribeAuditLogConfig

Interrogez la configuration des journaux d'audit, y compris l'état d'activation des journaux d'audit et la période de rétention.

DescribeAuditRecords

Interrogez les journaux d'audit d'une instance.

Facturation

Après avoir activé les journaux d'audit, vous êtes facturé en fonction de l'utilisation du stockage des journaux d'audit. Pour plus de détails sur la facturation, consultez la section Éléments de facturation.

FAQ

Puis-je afficher plus de 2 000 entrées de journal d'audit ?

La console affiche jusqu'à 2 000 entrées. Pour des requêtes plus volumineuses, connectez-vous à la console Simple Log Service et interrogez directement le Logstore.

Comment vérifier l'espace de stockage utilisé par les journaux d'audit ?

Ouvrez la page Instances dans la console et accédez à la page Audit Logs de l'instance. L'utilisation du stockage y est affichée.

Pourquoi certains journaux affichent-ils une IP client de 127.0.0.1 ?

Les entrées comportant l'adresse IP 127.0.0.1 sont générées par des opérations de gestion internes et non par des clients externes. Le tableau suivant répertorie les types de journaux internes courants :

Type de journal

Description

Éviction du nœud principal

Une éviction s'est produite sur le nœud.

Événement de suppression de journal d'audit du nœud principal

Un événement de suppression de journal d'audit a commencé (drop start).

Événement de suppression de journal d'audit du nœud principal

Un événement de suppression de journal d'audit s'est terminé (drop end).

Journal des clés fréquentes du nœud principal

Clés fréquentes détectées sur le nœud, identifiées par QPS (requêtes par seconde) ou par trafic.

Journal des clés volumineuses du nœud principal

Clés volumineuses détectées sur le nœud, identifiées par le nombre d'éléments.

Les journaux d'audit peuvent-ils indiquer quand une clé a été supprimée, quelles clés ont été définies le plus récemment ou quand un compte s'est connecté ?

Si la journalisation d'audit était activée avant la suppression d'une clé, vous pouvez interroger son heure de suppression et l'adresse IP source de l'opération. La console ne peut pas afficher directement les clés définies le plus récemment. Pour tracer les requêtes d'écriture, activez la journalisation d'audit avant que ces requêtes ne se produisent. La journalisation d'audit est une fonctionnalité payante et les frais sont calculés en fonction de l'utilisation du stockage des journaux d'audit. Elle enregistre uniquement les opérations effectuées après son activation et ne peut pas récupérer les opérations historiques.

Redis n'enregistre pas les heures de connexion des comptes. Après l'activation de la journalisation d'audit, vous pouvez consulter les opérations d'écriture effectuées par chaque compte pendant la période d'activation.

L'adresse IP client dans les journaux d'audit représente-t-elle l'IP client réelle et puis-je distinguer les opérations applicatives des opérations manuelles ?

Les journaux d'audit enregistrent uniquement l'adresse IP publique sortante du client. Si le client se connecte via un VPN, les journaux enregistrent l'adresse IP publique sortante du VPN au lieu de l'adresse IP réelle du client. Les journaux d'audit ne peuvent pas collecter d'informations sur l'appareil client sous-jacent.

Remarque

La base de données enregistre uniquement l'adresse IP source d'une opération. Elle ne peut pas déterminer si une commande telle que FLUSHDB a été déclenchée automatiquement par une application ou exécutée manuellement. Utilisez l'attribution de l'adresse IP conjointement avec vos journaux d'application pour identifier la source.