RDS SQL 監査ログの収集 | Simple Log Service - Simple Log Service

RDS SQL 監査ログを Simple Log Service に収集して、クエリ、分析、アラートを一元的に実行します。

前提条件

RDS インスタンスが作成され、SQL Explorer の paid edition (RDS for MySQL インスタンスの場合) が有効化されていること。RDS for MySQL インスタンスでは、SQL Explorer の paid edition が必須です。Simple Log Service は、basic SQL audit edition のみが有効になっているインスタンスからログを収集できません。詳細については、「Quickly create an RDS for MySQL instance」および「SQL Explorer」をご参照ください。
Simple Log Service プロジェクトと Logstore が、RDS インスタンスと同じリージョンに作成されていること。詳細については、「Create a project and a LogStore」をご参照ください。

説明

Simple Log Service コンソールで RDS インスタンスを選択できない場合、またはそのインスタンスでデータ転送を有効化できない場合は、RDS コンソールで当該インスタンスの SQL Explorer 設定を確認し、paid edition が有効で実行中であることを確認してください。basic SQL audit edition のみを実行しているインスタンスは、本トピックの前提条件を満たしません。

手順

重要

RDS SQL 監査ログの収集と管理には、CloudLens for RDS (formerly RDS Audit Center) の使用を推奨します。クロスアカウントまたはクロスリージョンのシナリオでは、Log Audit Service の使用を推奨します。本トピックで説明するデータインポート方法は、CloudLens for RDS で代替できる方法です。

データインポート方法を使用するには、次の手順を実行します。

Log Serviceコンソールにログインします。
データのインポート セクションで、[RDS Audit - クラウドサービス] をクリックします。
ログストアの指定 タブで、宛先プロジェクトとログストアを選択し、次へをクリックします。
Data Source Configuration タブで、RAM の承認を完了します。インポートステータス > 次へ。
重要
- Simple Log Service にログを転送する権限が付与されていない場合は、RAM の横にある承認をクリックし、画面の指示に従ってください。これにより、Simple Log Service がログを収集するために使用する AliyunLogArchiveRole という名前の RAM ロールが作成されます。
- RDS インスタンスが一覧に表示されない場合、またはデータ転送を有効化できない場合は、上記の前提条件を満たしていることを確認してください。
- 転送先のプロジェクトと Logstore は、監査ログを保存するために作成したリソースである必要があります。アラート専用プロジェクトや、名前が sls-alert- で始まる Logstore など、別の機能で自動的に生成されるプロジェクトや Logstore は選択しないでください。このようなリソースに転送された監査ログは、後から見つけるのが困難になります。間違った転送先を選択した場合は、インスタンスの インポートステータス をオフにし、再度オンにしてから、ログストアの指定 タブで正しいプロジェクトと Logstore を選択してください。
このページには、RDS インスタンスのログは同一リージョン内の Logstore にのみ転送できることが表示されます。インスタンス一覧には、[Instance name]、[DB engine]、[Region]、[Enable data shipping] (スイッチ)、[Destination] などの列があります。一覧から対象インスタンスを見つけ、スイッチをオンにしてデータ転送を有効化します。
クエリと分析の設定 タブで、次へをクリックします。

Simple Log Service は、RDS SQL 監査ログを保存する Logstore のインデックスを自動的に有効化して設定します。インデックス設定を変更する必要がある場合は、Create an index を参照してください。

次のステップ

SQL Explorer and SQL audit を使用して、RDS for MySQL インスタンス上の SQL 文を監視および管理します。
Simple Log Service と RDS は、CloudLens for RDS (formerly RDS Audit Center) を共同で提供しています。これを使用して、RDS SQL 監査ログ、エラーログ、スロークエリログの収集ステータスをリアルタイムで確認し、収集設定を一元管理して、ログに対する監査、分析、アラートを実行できます。
Simple Log Service が RDS SQL 監査ログを収集した後、ログのクエリ、分析、ダウンロード、データ転送、変換を実行したり、アラートを作成したりできます。詳細については、「Common operations for cloud service logs」をご参照ください。

よくある質問

Simple Log Service で RDS SQL 監査ログが 2 回収集されるのはなぜですか？

ログが重複して収集されるのは、通常、同一の RDS インスタンスに対して 2 つの収集設定が同時に有効になっていることが原因です。1 つは RDS コンソールの SQL 監査ログ機能による設定で、クラウドサービス用に自動作成されたプロジェクトにログを転送するものです。もう 1 つは、本トピックで説明しているように Simple Log Service で RDS 監査データをインポートする際に作成する設定です。

重複箇所を特定するには、RDS コンソールで当該インスタンスの SQL 監査ログの転送設定と、Simple Log Service の RDS 監査インポート設定を比較し、両者が異なるプロジェクトまたは Logstore を参照していないか確認してください。また、CloudLens for RDS (formerly RDS Audit Center) を使用すると、収集ステータスと収集設定を 1 か所で確認できます。

設定を 1 つだけ残し、不要になった設定については インポートステータス をオフにします。その後、重複データはそれ以上書き込まれません。すでに収集されたログデータは Logstore に残り、自動的には削除されません。それを除外するには、Logstore の保存期間が切れるまで待つか、影響を受ける期間を除外した時間範囲でデータをクエリします。

RDS SQL 監査ログを使用して、スロークエリまたは DELETE 文に対する DingTalk アラートを送信するにはどうすればよいですか？

インスタンスの SQL 監査ログを Simple Log Service に収集してください。スロークエリも監視する場合は、スロークエリログも収集してください。本トピックの手順に従うか、CloudLens for RDS (formerly RDS Audit Center) を使用して両方のログタイプをまとめて管理できます。
Simple Log Service コンソールで、ログを保存する Logstore を開き、アラート対象とする文のみを返すクエリを作成します。RDS SQL 監査ログのドキュメントに記載されているフィールド名を使用して、文の種類でフィルタリングします。範囲を絞り込むには、テーブル名や文の実行レイテンシなどの条件を追加します。
前の手順のクエリに基づいて、同じ Logstore にアラート監視ルールを作成します。ルールで、クエリの時間範囲、チェック間隔、アラートをトリガーするしきい値 (チェックごとの一致文数など) を設定します。RDS SQL 監査ログのアラートは、他のクラウドサービスログと同じアラート機能を使用します。詳細については、「Common operations for cloud service logs」をご参照ください。
ルールの通知方法として WebHook-DingTalk ボット を選択し、対象の DingTalk グループに追加した DingTalk チャットボットの Webhook アドレスを入力します。その後、一致するステートメントがそのグループにリアルタイムでプッシュされます。