다음을 통해 공유

Azure Database for PostgreSQL 灵活服务器中的审核日志记录

  • 아티클

适用于： Azure Database for PostgreSQL 灵活服务器

Azure Database for PostgreSQL 灵活服务器中数据库活动的审核日志记录可以通过 pgaudit 扩展来获取。 pgaudit 提供详细的会话和/或对象审核日志记录。

如果需要对计算和存储缩放之类的操作进行 Azure 资源级别的日志记录，请参阅 Azure 活动日志。

使用注意事项

默认情况下，通过使用 Postgres 的标准日志记录设备将 pgaudit 日志语句与常规日志语句一起发出。 在 Azure Database for PostgreSQL 灵活服务器中，可将所有日志配置为发送到 Azure Monitor 日志存储，以供将来在 Log Analytics 中进行分析。 如果启用 Azure Monitor 资源日志记录，系统会将日志（以 JSON 格式）自动发送到 Azure 存储、事件中心和/或 Azure Monitor 日志，具体取决于你的选择。

若要了解如何设置将日志记录到 Azure 存储、事件中心或 Azure Monitor 日志的功能，请访问服务器日志文章的资源日志部分。

安装扩展

若要使用 pgaudit 扩展，需要在计划使用该扩展的数据库中将扩展加入允许列表、加载和创建扩展。

配置扩展设置

可以通过 pgaudit 配置会话或对象审核日志记录。 会话审核日志记录会发出已执行语句的详细日志。 对象审核日志记录是局限于特定关系的审核。 可以选择设置一个或两个类型的日志记录。

启用 pgaudit 后，即可配置其参数，以便开始日志记录。

若要配置 pgaudit，可以按照以下说明进行操作：

使用 Azure 门户：

  1. 选择 Azure Database for PostgreSQL 灵活服务器的实例。

  2. 从资源菜单的“设置”下，选择“服务器参数”。

  3. 搜索 pgaudit 参数。

  4. 选择适当的参数进行编辑。 例如，若要开始记录 INSERT、UPDATE、DELETE、TRUNCATE 和 COPY 语句，请将 pgaudit.log 设置为 WRITE。

  5. 选择“保存”按钮以保存更改。

pgaudit 的官方文档提供了各个参数的定义。 请先测试参数，确认获取的是预期行为。

例如，将 pgaudit.log_client 设置为 ON 不仅会将审核事件写入服务器日志，还会将它们发送到客户端进程（如 psql）。 通常应让此设置保持禁用状态。

pgaudit.log_level 只有在 pgaudit.log_client 为 on 的情况下启用。

在 Azure Database for PostgreSQL 灵活服务器中，不能使用 -（减号）快捷方式来设置 pgaudit.log（如 pgaudit 文档中所述）。 所有必需的语句类（READ、WRITE 等）均应单独指定。

如果将 log_statement 参数设置为 DDL 或 ALL，并且运行 CREATE ROLE/USER ... WITH PASSWORD ... ; 或 ALTER ROLE/USER ... WITH PASSWORD ... ; 命令，则 PostgreSQL 会在 PostgreSQL 日志中创建一个条目，其中密码以明文记录，这可能会导致潜在的安全风险。 这是 PostgreSQL 引擎设计的预期行为。

但是，可以使用 pgaudit 扩展并将 pgaudit.log 设置为 DDL，不会在 Postgres 服务器日志中记录任何 CREATE/ALTER ROLE 语句，这与将 log_statement 设置为 DDL 时不同。 如果需要记录这些语句，则还可以将 pgaudit.log 设置为 ROLE，这会在记录 CREATE/ALTER ROLE 的同时编修日志中的密码。

审核日志格式

每个审核条目都以 AUDIT: 开头。 条目其余部分的格式详见 pgaudit 的文档。

入门

若要快速开始，请将 pgaudit.log 设置为 ALL，并打开服务器日志来查看输出。

查看审核日志

访问日志的方式取决于所选的终结点。 有关 Azure 存储，请参阅日志存储帐户一文。 有关事件中心，请参阅流式传输 Azure 日志一文。

Azure Monitor 日志将发送到所选的工作区。 Postgres 日志使用 AzureDiagnostics 收集模式，因此可以从 AzureDiagnostics 表查询它们。 在 Azure Monitor 日志查询概述中详细了解查询和警报。

可以通过此查询开始使用。 可以基于查询配置警报。

搜索特定服务器在过去一天生成的 Postgres 日志中的所有 pgaudit 条目

AzureDiagnostics
| where Resource =~ "<flexible-server-name>"
| where Category == "PostgreSQLLogs"
| where TimeGenerated > ago(1d)
| where Message contains "AUDIT:"

相关内容