ApsaraDB for MongoDB:Ativar logs de auditoria

Casos de uso

Pré-requisitos

• Sua instância deve ser uma instância de replica set ou uma instância de sharded cluster. O recurso de log de auditoria não é compatível com instâncias standalone.

• O Log Service deve estar ativado. Para instruções, consulte Getting Started.

• Se você ativar os logs de auditoria como usuário RAM, conceda as seguintes permissões ao usuário RAM:

  • AliyunLogFullAccess: trata-se de uma política do sistema. Para instruções sobre como conceder essa permissão, consulte Grant permissions to a RAM user.

  • dds:CheckServiceLinkedRole: trata-se de uma política personalizada. Primeiro crie essa política no console do Resource Access Management (RAM) e depois conceda-a ao usuário RAM. Para criar uma política personalizada usando o editor de scripts, consulte Create custom policies. Para instruções sobre como conceder a permissão, consulte Grant permissions to a RAM user.

    O script a seguir corresponde à política dds:CheckServiceLinkedRole.

    {
    	"Version": "1",
    	"Statement": [
    		{
    			"Effect": "Allow",
    			"Action": "dds:CheckServiceLinkedRole",
    			"Resource": "*"
    		}
    	]
    }

• Se você usar um usuário RAM para acessar os logs de auditoria, conceda a permissão AliyunLogFullAccess ou AliyunLogReadOnlyAccess ao usuário RAM. Para instruções sobre como conceder essas permissões, consulte Grant permissions to a RAM user.

Observações de uso

• Após ativar o recurso de log de auditoria, o sistema registra informações de auditoria para operações de escrita. Isso pode adicionar sobrecarga de desempenho e causar variações de latência na sua instância do ApsaraDB for MongoDB. Para instâncias com MongoDB 6.0 ou superior, a sobrecarga de desempenho pode ser de 15% a 20%. Em versões anteriores, essa sobrecarga pode ser ainda maior. Para mais informações, consulte Audit log performance analysis.

  Nota

  Se sua aplicação realiza um alto volume de operações de escrita na instância do ApsaraDB for MongoDB, recomendamos ativar este recurso apenas para solução de problemas ou auditorias de segurança, a fim de evitar degradação de desempenho.

• Após ativar o recurso de log de auditoria, apenas os tipos de operação admin e slow são selecionados por padrão. Para alterar os tipos de operação auditados, consulte Modify operation types for audit logs.

• A configuração do período de retenção de log se aplica a todas as instâncias do ApsaraDB for MongoDB na região atual. As demais configurações se aplicam apenas à instância atual.

• Se você ativou a edição de avaliação gratuita do recurso de log de auditoria e precisa de um período de retenção mais longo ou de mais espaço de armazenamento, faça upgrade para a edição oficial. Para instruções, consulte Upgrade to the official edition.

Faturamento

A edição oficial do recurso de log de auditoria é cobrada com base em pagamento conforme o uso, de acordo com o uso de armazenamento e o período de retenção dos logs de auditoria. As tabelas a seguir mostram os preços por região.

Você pode adotar os métodos a seguir para reduzir os custos com logs de auditoria.

Procedimento

1. Acesse o console do ApsaraDB for MongoDB.

2. No painel de navegação à esquerda, clique em Replica Set Instances ou Sharded Cluster Instances de acordo com o tipo da sua instância.

3. No canto superior esquerdo da página, selecione o grupo de recursos e a região onde a instância está localizada.

4. Clique no ID da instância ou clique em Manage na coluna Actions correspondente à instância.

5. No painel de navegação à esquerda, escolha Data Security > Audit Logs.

6. Na página Latest Audit Logs, defina o Log Retention Period.

   • O período de retenção pode ser configurado de 1 a 365 dias. O valor padrão é 30 dias.

   • Confirme que o período de retenção selecionado é adequado para todas as instâncias na região antes de prosseguir.

7. Clique em Activate.

   Nota

   Ao ativar o recurso de log de auditoria, o ApsaraDB for MongoDB recebe automaticamente a função vinculada ao serviço AliyunServiceRoleForMongoDB. Essa função permite que o ApsaraDB for MongoDB acesse os logs do Log Service.

8. Na caixa de diálogo Activate, leia a mensagem e clique em Confirm.

Próximas etapas

Referência de API

Documentação relacionada

• Consultar logs de auditoria

• Baixar logs de auditoria

• Desativar o recurso de log de auditoria

• Análise de desempenho do log de auditoria