SQL Explorer and Audit for RDS PostgreSQL - ApsaraDB RDS: Central de Documentação do Alibaba Cloud

O SQL Explorer e Audit registra e analisa instruções SQL executadas na sua instância RDS PostgreSQL para auditorias de conformidade de segurança, análise de desempenho e solução de problemas. Ele captura automaticamente as instruções do kernel do banco de dados, incluindo a conta de execução, o endereço IP de source e os detalhes da execução, sem impactar o desempenho da instância.

Pré-requisitos

Você adquiriu DAS Enterprise Edition.

O SQL Explorer e Audit requer o DAS Enterprise Edition. Só é possível ativar a versão mais recente disponível na sua região. Os regions suportados variam conforme a versão.
Usuários RAM precisam da permissão AliyunRDSReadOnlyWithSQLLogArchiveAccess para o recurso de audit. Conceda essa permissão por meio de Use RAM to manage ApsaraDB RDS permissions.

Nota
Também é possível conceder permissões de pesquisa e exportação por meio de custom RAM policy.

Faturamento

Os preços estão detalhados em Billing details.

Nota

Ao ativar o SQL Explorer e Audit, o faturamento do recurso legado SQL Audit (Database Audit) é interrompido. A nova versão é cobrada como parte do DAS Enterprise Edition.

Recursos

Audit: Consulte e exporte o histórico de execução de SQL, incluindo banco de dados, status e tempo de execução.
Nota
- Ativar ou desativar o log de auditoria modifica o parâmetro de kernel log_statement.
  - Ao ativar o log de auditoria, o sistema define log_statement = all.
  - Ao desativar o log de auditoria, o sistema define log_statement = ddl.
- Use também a API ModifySqlLogConfig para ativar ou desativar o log de auditoria.
SQL Explorer: Diagnostique a integridade do SQL, solucione problemas de desempenho e analise o tráfego de SQL.

Limitações

Se o pool de conexões PgBouncer estiver ativado, as instruções SQL roteadas pelo PgBouncer não serão registradas.

Ativar o SQL Explorer e Audit

Nota

Só é possível ativar a versão mais recente compatível com a sua instância.

Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no ID da instância.
No painel de navegação à esquerda, escolha Autonomy Services > SQL Explorer and Audit.
Clique em Enable Audit Logs, selecione os recursos que deseja ativar e clique em Submit.

A página de ativação possui duas seções: Audit Scenario oferece SQL Log (armazenamento frio) e Log Index (armazenamento quente), cada um com um período de retenção configurável. Insight Scenario oferece SQL Explorer (análise global de carga de trabalho SQL, detecção de SQL anômalo, replay de tráfego) e Security Audit (alertas de auditoria e gerenciamento de regras).

Usar o SQL Explorer e Audit

Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no ID da instância.
No painel de navegação à esquerda, escolha Autonomy Services > SQL Explorer and Audit. Utilize os recursos Audit e SQL Explorer conforme necessário.

Alterar o período de retenção de dados

Aviso

Reduzir o período de retenção exclui imediatamente os logs de auditoria SQL que excedem o novo limite. Exporte e salve seus logs antes de reduzir o período de retenção.

Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no ID da instância.
No painel de navegação à esquerda, escolha Autonomy Services > SQL Explorer and Audit.
Clique em Service Settings.
Na página Service Settings, modifique o período de retenção e clique em Submit.

Nota
Os dados do SQL Explorer e Audit são armazenados pelo DAS e não ocupam espaço de armazenamento da sua instância.

Desativar o SQL Explorer e Audit

Aviso

Desativar o SQL Explorer e Audit exclui todos os logs. Exporte e salve seus logs antes de desativar. Ao reativar, o registro de logs ocorre apenas a partir do momento da reativação.

Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no ID da instância.
No painel de navegação à esquerda, escolha Autonomy Services > SQL Explorer and Audit.
Na área Logs, clique em Export.

Selecione os campos e o intervalo de tempo para exportação. Se o seu service utilizar armazenamento quente e frio, será necessário selecionar um CSV Separator.
Configure a tarefa de exportação. Após a conclusão, clique em Task list para baixar e salvar o arquivo.
Clique em Service Settings para desativar o SQL Explorer e Audit.

Se o DAS Enterprise Edition estiver ativado, desmarque todas as caixas de seleção dos recursos do SQL Explorer e Audit e clique em Submit.
Importante
- Cerca de uma hora após a desativação, o sistema libera o espaço de armazenamento dos dados.
- Se a coleta de logs de auditoria estiver ativada via CloudLens for RDS (Simple Log Service), o SQL Explorer e Audit será ativado automaticamente. Nesse caso, também é necessário desativar a coleta de logs de auditoria no CloudLens for RDS.

Perguntas frequentes

P: Por que não consigo encontrar instruções SQL com falha na minha instância RDS PostgreSQL?

R: Instruções SQL com falha são registradas no log de erros, não no log de auditoria. Verifique o log de erros por meio de View logs.

P: Por que o nome do banco de dados na lista de logs difere daquele na instrução SQL?

R: Essa discrepância pode ocorrer devido à entrada do usuário ou a designs de consulta, como consultas entre bancos de dados ou SQL dinâmico.

P: Por que a entrada SQL Audit desapareceu do console da instância?

R: Devido a uma atualização de recurso, a entrada da versão mais recente foi renomeada para SQL Explorer and Audit.

P: Ainda posso ativar a versão antiga do SQL Audit?

R: Não. Só é possível ativar a versão mais recente suportada pela sua instância. Product series and supported features.