ApsaraDB for MongoDB:Ativar logs de auditoria

Casos de uso

Pré-requisitos

• Sua instância deve ser uma instância de replica set ou de sharded cluster. O recurso de log de auditoria não oferece suporte a instâncias standalone.

• O Log Service deve estar ativado. Para obter instruções, consulte Getting Started.

• Se você ative os logs de auditoria como um usuário RAM, conceda as seguintes permissões a esse usuário:

  • AliyunLogFullAccess: Esta é uma política de sistema. Para obter instruções sobre como conceder essa permissão, consulte Grant permissions to a RAM user.

  • dds:CheckServiceLinkedRole: Esta é uma política personalizada. Crie primeiro essa política no console do Resource Access Management (RAM) e depois conceda-a ao usuário RAM. Para criar uma política personalizada usando o editor de scripts, consulte Create custom policies. Para obter instruções sobre como conceder a permissão, consulte Grant permissions to a RAM user.

    O script a seguir corresponde à política dds:CheckServiceLinkedRole.

    {
    	"Version": "1",
    	"Statement": [
    		{
    			"Effect": "Allow",
    			"Action": "dds:CheckServiceLinkedRole",
    			"Resource": "*"
    		}
    	]
    }

• Caso utilize um usuário RAM para acessar logs de auditoria, conceda a permissão AliyunLogFullAccess ou AliyunLogReadOnlyAccess a ele. Para obter instruções sobre como conceder essas permissões, consulte Grant permissions to a RAM user.

Observações de uso

• Ao ative o recurso de log de auditoria, o sistema registra informações de auditoria para operações de escrita. Isso pode aumentar a sobrecarga de desempenho e causar oscilações de latência na sua instância do ApsaraDB for MongoDB. Em instâncias com MongoDB 6.0 ou posterior, a sobrecarga de desempenho pode variar de 15% a 20%. Para instâncias que execute versões anteriores, a sobrecarga pode ser maior. Para mais informações, consulte Audit log performance analysis.

  Nota

  Se sua aplicação realizar um alto volume de operações de escrita, recomendamos ative este recurso apenas para solução de problemas ou auditorias de segurança, a fim de evitar degradação do desempenho.

• Após a ativação do recurso de log de auditoria, apenas os tipos de operação admin e slow são selecionados por padrão. Para alterar os tipos de operação auditados, consulte Modify operation types for audit logs.

• A configuração do período de retenção de logs aplica-se a todas as instâncias do ApsaraDB for MongoDB na região atual. Todas as outras configurações aplicam-se somente à instância atual.

• Caso tenha ativado a edição de avaliação gratuita do recurso de log de auditoria e precise de um período de retenção mais longo ou de mais espaço de armazenamento, faça upgrade para a edição oficial. Para obter instruções, consulte Upgrade to the official edition.

Faturamento

A edição oficial do recurso de log de auditoria é cobrada no modelo pagamento conforme o uso, com base no uso de armazenamento e no período de retenção. As tabelas a seguir mostram os preços por região.

Reduza os custos de log de auditoria utilizando os métodos a seguir.

Procedimento

1. Faça login no console do ApsaraDB for MongoDB.

2. No painel de navegação à esquerda, clique em Replica Set Instances ou Sharded Cluster Instances, conforme o tipo da sua instância.

3. No canto superior esquerdo da página, selecione o grupo de recursos e a região onde a instância está localizada.

4. Clique no ID da instância ou clique em Manage na coluna Actions da instância desejada.

5. No painel de navegação à esquerda, escolha Data Security > Audit Logs.

6. Na página Latest Audit Logs, defina o Log Retention Period.

   • Defina o período de retenção entre 1 e 365 dias. O valor padrão é 30 dias.

   • Confirme se o período de retenção selecionado é adequado para todas as instâncias da região.

7. Clique em Activate.

   Nota

   Ao ative o recurso de log de auditoria, o ApsaraDB for MongoDB recebe automaticamente a função vinculada ao service AliyunServiceRoleForMongoDB para acessar logs do Log Service.

8. Na caixa de diálogo Activate, leia a mensagem e clique em Confirm.

Próximos passos

Referência de API

Documentação relacionada

• Query audit logs

• Baixe audit logs

• Disable the audit log feature

• Audit log performance analysis