ApsaraDB for MongoDB：Aktifkan fitur log audit

Skenario

Prasyarat

• Instance harus berupa instance set replika atau cluster sharded. Anda tidak dapat mengaktifkan fitur log audit untuk instance mandiri.

• Log Service telah diaktifkan. Untuk informasi lebih lanjut, lihat Memulai.

• Jika Anda ingin mengaktifkan fitur log audit sebagai Pengguna Resource Access Management (RAM), Anda perlu memberikan izin berikut kepada pengguna RAM:

  • AliyunLogFullAccess: Izin ini adalah kebijakan sistem. Untuk informasi lebih lanjut tentang cara memberikan izin kepada pengguna RAM, lihat Berikan izin kepada pengguna RAM.

  • dds:CheckServiceLinkedRole: Izin ini adalah kebijakan kustom. Anda perlu membuat kebijakan kustom di konsol RAM sebelum melampirkan kebijakan tersebut ke pengguna RAM. Untuk informasi lebih lanjut tentang cara membuat kebijakan kustom pada tab JSON, lihat Buat kebijakan kustom. Untuk informasi lebih lanjut tentang cara memberikan izin kepada pengguna RAM, lihat Berikan izin kepada pengguna RAM.

    Berikut adalah contoh skrip untuk kebijakan dds:CheckServiceLinkedRole:

    {
    	"Version": "1",
    	"Statement": [
    		{
    			"Effect": "Allow",
    			"Action": "dds:CheckServiceLinkedRole",
    			"Resource": "*"
    		}
    	]
    }

• Jika Anda ingin mengakses log audit sebagai pengguna RAM, Anda perlu memberikan izin AliyunLogFullAccess atau AliyunLogReadOnlyAccess kepada pengguna RAM. Untuk informasi lebih lanjut tentang cara memberikan izin kepada pengguna RAM, lihat Berikan izin kepada pengguna RAM.

Catatan penggunaan

• Setelah Anda mengaktifkan fitur log audit untuk instance, ApsaraDB for MongoDB akan mengaudit dan mencatat operasi tulis yang dilakukan pada instance tersebut. Instance mungkin mengalami penurunan kinerja sebesar 5% hingga 15% dan jumlah latensi serta jitter tertentu. Penurunan kinerja, latensi, dan jitter bervariasi tergantung pada jumlah data yang ditulis atau diaudit.

  Catatan

  Aplikasi Anda mungkin menulis sejumlah besar data ke instance. Untuk mencegah penurunan kinerja dalam skenario seperti itu, kami sarankan Anda hanya mengaktifkan fitur log audit untuk pemecahan masalah atau audit keamanan instance.

• Secara default, setelah fitur log audit diaktifkan, jenis operasi yang dipilih adalah admin dan slow. Untuk informasi lebih lanjut tentang cara mengubah jenis operasi, lihat Ubah jenis operasi untuk log audit.

• Periode retensi log yang ditentukan untuk instance berlaku untuk instance tersebut dan semua instance lainnya yang berada di wilayah yang sama dengan instance tersebut. Operasi lainnya hanya berlaku untuk instance saat ini.

• Jika Anda ingin menyimpan log audit untuk periode waktu yang lebih lama atau menggunakan ruang penyimpanan yang lebih besar untuk log audit selama uji coba gratis fitur ini, Anda dapat meningkatkan edisi uji coba gratis ke edisi resmi. Untuk informasi lebih lanjut, lihat Tingkatkan ke edisi resmi.

Penagihan

Anda akan dikenakan biaya untuk edisi resmi fitur log audit berdasarkan kapasitas penyimpanan yang digunakan oleh log audit dan periode retensi log audit. Tabel berikut mencantumkan harga satuan penyimpanan fitur log audit di berbagai wilayah.

Anda juga dapat menggunakan metode yang dijelaskan dalam tabel berikut untuk mengurangi biaya yang timbul dari log audit.

Prosedur

1. Masuk ke konsol ApsaraDB for MongoDB.

2. Di panel navigasi sisi kiri, klik Replica Set Instances atau Sharded Cluster Instances.

3. Di pojok kiri atas halaman yang muncul, pilih grup sumber daya dan wilayah tempat instance yang diinginkan berada.

4. Klik ID instance yang ingin Anda kelola atau klik Manage di kolom Actions.

5. Di panel navigasi sisi kiri halaman detail instance, pilih Data Security > Audit Logs.

6. Di halaman Latest Audit Logs, konfigurasikan parameter Log Retention Period.

   • Nilai valid untuk parameter ini adalah 1 hingga 365. Nilai defaultnya adalah 30. Parameter ini diukur dalam hari.

   • Periode retensi log yang ditentukan untuk instance berlaku untuk instance tersebut dan semua instance lainnya yang berada di wilayah yang sama dengan instance tersebut. Kami sarankan Anda mengevaluasi periode retensi log audit untuk semua instance di wilayah yang sama sebelum mengonfigurasi parameter ini.

7. Klik Enable Audit Logs.

   Catatan

   Ketika fitur log audit diaktifkan, ApsaraDB for MongoDB secara otomatis mendapatkan peran AliyunServiceRoleForMongoDB. Peran ini memungkinkan ApsaraDB for MongoDB untuk menggunakan log audit dari Log Service.

8. Di pesan Enable Audit Logs, baca prompt dan klik OK.

Tugas terkait

Operasi API terkait

Referensi

• Kueri log audit

• Unduh log audit

• Nonaktifkan fitur log audit