ApsaraDB for MongoDB:監査ログの有効化

利用シーン

前提条件

• ご利用のインスタンスがレプリカセットインスタンスまたはシャードクラスターインスタンスであること。監査ログ機能はスタンドアロンインスタンスをサポートしていません。

• Log Service が有効化されていること。手順については、「クイックスタート」をご参照ください。

• RAM ユーザーとして監査ログを有効にする場合、その RAM ユーザーに次の権限を付与する必要があります。

  • AliyunLogFullAccess：これはシステムポリシーです。この権限を付与する方法については、「RAM ユーザーへの権限付与」をご参照ください。

  • dds:CheckServiceLinkedRole：これはカスタムポリシーです。まず Resource Access Management (RAM) コンソールでこのポリシーを作成し、次に RAM ユーザーに付与する必要があります。スクリプトエディターを使用してカスタムポリシーを作成するには、「カスタムポリシーの作成」をご参照ください。権限を付与する方法については、「RAM ユーザーへの権限付与」をご参照ください。

    以下は、dds:CheckServiceLinkedRole ポリシーのスクリプトです。

    {
    	"Version": "1",
    	"Statement": [
    		{
    			"Effect": "Allow",
    			"Action": "dds:CheckServiceLinkedRole",
    			"Resource": "*"
    		}
    	]
    }

• RAM ユーザーを使用して監査ログにアクセスする場合、その RAM ユーザーに AliyunLogFullAccess または AliyunLogReadOnlyAccess 権限を付与する必要があります。これらの権限を付与する方法については、「RAM ユーザーへの権限付与」をご参照ください。

注意事項

• 監査ログ機能を有効にすると、システムは書き込み操作の監査情報を記録します。これにより、ApsaraDB for MongoDB インスタンスにパフォーマンスオーバーヘッドが追加され、レイテンシージッターが発生する可能性があります。MongoDB 6.0 以降を実行するインスタンスでは、パフォーマンスオーバーヘッドは 15% から 20% になる可能性があります。それ以前のバージョンを実行するインスタンスでは、パフォーマンスオーバーヘッドがさらに高くなる場合があります。詳細については、「監査ログのパフォーマンス分析」をご参照ください。

  説明

  ご利用のアプリケーションが ApsaraDB for MongoDB インスタンスに対して大量の書き込み操作を実行する場合、パフォーマンスの低下を防ぐために、トラブルシューティングやセキュリティ監査の目的でのみこの機能を有効にすることを推奨します。

• 監査ログ機能を有効にすると、デフォルトでは admin と slow の操作タイプのみが選択されます。監査対象の操作タイプを変更するには、「監査ログの操作タイプを変更する」をご参照ください。

• ログ保持期間の設定は、現在のリージョン内のすべての ApsaraDB for MongoDB インスタンスに適用されます。その他のすべての設定は、現在のインスタンスにのみ適用されます。

• 監査ログ機能の無料トライアル版を有効にしていて、より長い保持期間やより多くのストレージ容量が必要な場合は、正式版にアップグレードできます。手順については、「正式版へのアップグレード」をご参照ください。

課金

監査ログ機能の正式版は、監査ログのストレージ使用量と保持期間に基づいて従量課金で請求されます。次の表は、各リージョンでの価格を示しています。

以下の方法で監査ログのコストを削減できます。

操作手順

1. ApsaraDB for MongoDB コンソールにログインします。

2. 左側のナビゲーションウィンドウで、インスタンスタイプに応じて レプリカセットインスタンス または シャーディングインスタンス をクリックします。

3. ページの左上隅で、インスタンスが配置されているリソースグループとリージョンを選択します。

4. インスタンスの ID をクリックするか、対象インスタンスの 操作 列にある 管理 をクリックします。

5. 左側のナビゲーションウィンドウで、データセキュリティ > 監査ログ を選択します。

6. 監査ログへようこそ ページで、ログ保持期間 を設定します。

   • 保持期間は 1 日から 365 日まで設定できます。デフォルト値は 30 日です。

   • 次に進む前に、選択した保持期間がリージョン内のすべてのインスタンスに適していることを確認してください。

7. サービスを有効化 をクリックします。

   説明

   監査ログ機能を有効にすると、ApsaraDB for MongoDB には自動的に AliyunServiceRoleForMongoDB サービスリンクロールが付与されます。このロールにより、ApsaraDB for MongoDB は Log Service からログにアクセスできるようになります。

8. サービスを有効化 ダイアログボックスで、メッセージをお読みいただき、確定する をクリックします。

次のステップ

API リファレンス

関連ドキュメント

• 監査ログのクエリ

• 監査ログのダウンロード

• 監査ログ機能を無効にする

• 監査ログのパフォーマンス分析