PostgreSQL審計插件pgaudit

IT那活兒發(fā)布于2023-01-11 13:20 / 2865人閱讀

PostgreSQL可以通過log_statement=all 提供日志審計，但是沒有提供審計要求的詳細(xì)程度。本文主要介紹審計插件pgaudit。

pgAudit通過標(biāo)準(zhǔn)PostgreSQL日志記錄工具提供詳細(xì)的會話和/或?qū)ο髮徍巳罩居涗洝?/span>

注意：pgAudit可能會生成大量日志。請謹(jǐn)慎確定要在您的環(huán)境中記錄哪些審核內(nèi)容，以避免過多記錄,可以根據(jù)需要開啟審計，關(guān)閉審計設(shè)置pgaudit.log=none，并重新加載即可。

pgAudit版本支持的PostgreSQL主要版本：

pgAudit v1.5.X旨在支持PostgreSQL 13。
pgAudit v1.4.X旨在支持PostgreSQL 12。
pgAudit v1.3.X旨在支持PostgreSQL 11。
pgAudit v1.2.X旨在支持PostgreSQL 10。
pgAudit v1.1.X旨在支持PostgreSQL 9.6。
pgAudit v1.0.X旨在支持PostgreSQL 9.5。

相關(guān)配置參數(shù)：

pgaudit.log

指定會話審計日志記錄哪些語句類?？梢栽O(shè)置的類別 read ,write ,function,role ,ddl,misc , All 等

READ：SELECT和COPY當(dāng)源是一個關(guān)系或查詢。
WRITE：INSERT，UPDATE，DELETE，TRUNCATE，以及COPY當(dāng)目標(biāo)的關(guān)系。
FUNCTION：函數(shù)調(diào)用和DO塊。
ROLE：關(guān)于角色和特權(quán)聲明：GRANT，REVOKE，CREATE/ALTER/DROP ROLE。
DDL：所有DDL未包含在ROLE該類中的內(nèi)容。
MISC：其他命令，例如DISCARD，F(xiàn)ETCH，CHECKPOINT，VACUUM，SET。
MISC_SET：其他SET命令，例如SET ROLE。
ALL：包括以上所有內(nèi)容。

pgaudit.log_catalog

指定當(dāng)一條語句中的所有關(guān)系都位于pg_catalog中時，應(yīng)該啟用會話日志記錄。禁用此設(shè)置將減少來自psql和PgAdmin等工具的日志噪音，這些工具會大量查詢目錄。

pgaudit.log_relation

指定會話審計日志記錄是否應(yīng)該為SELECT或DML語句中引用的每個關(guān)系(表、視圖等)創(chuàng)建多帶帶的日志條目。對于不使用對象審計日志記錄的窮舉日志記錄，這是一個非常有用的快捷方式。

例如我們要記錄 ddl ，role , functiton,以及更改系統(tǒng)配置方面的操作記錄

pgaudit.log_client

指定日志消息是否對客戶端進(jìn)程可見

pgaudit.log_level

指定日志級別.默認(rèn)為log

pgaudit.log_parameter

指定審核日志記錄是否包含語句傳遞的參數(shù)。默認(rèn)為off

pgaudit.log_statement_once

指定日志記錄是在語句/子語句組合的第一個日志條目中還是在每個條目中都包含語句文本和參數(shù)。

pgaudit.role

指定用于對象審核日志記錄的主角色?？梢酝ㄟ^將多個審核角色授予主角色來定義多個審核角色

pgaudit 安裝：

▼▼▼
wget https://codeload.github.com/pgaudit/pgaudit/tar.gz/refs/tags/1.5.0
tar -xzvf pgaudit-1.5.0.tar.gz
cd pgaudit-1.5.0
make install USE_PGXS=1

在數(shù)據(jù)庫中創(chuàng)建pgaudit擴(kuò)展

▼▼▼
vi $PGDATA/postgresql.conf
shared_preload_libraries=pgaudit
pgaudit.log = all, -misc
pgaudit.log_catalog = on
pgaudit.log_client = on
pgaudit.log_level = log
pgaudit.log_parameter = on
pgaudit.log_relation = on
pgaudit.log_statement_once = on

數(shù)據(jù)庫重啟：
pg_ctl restart -D $PGDATA