PostgreSQL審計(jì)插件pgaudit

IT那活兒發(fā)布于2023-01-11 13:20 / 2808人閱讀

PostgreSQL可以通過log_statement=all 提供日志審計(jì)，但是沒有提供審計(jì)要求的詳細(xì)程度。本文主要介紹審計(jì)插件pgaudit。

pgAudit通過標(biāo)準(zhǔn)PostgreSQL日志記錄工具提供詳細(xì)的會(huì)話和/或?qū)ο髮徍巳罩居涗洝?/span>

注意：pgAudit可能會(huì)生成大量日志。請謹(jǐn)慎確定要在您的環(huán)境中記錄哪些審核內(nèi)容，以避免過多記錄,可以根據(jù)需要開啟審計(jì)，關(guān)閉審計(jì)設(shè)置pgaudit.log=none，并重新加載即可。

pgAudit版本支持的PostgreSQL主要版本：

pgAudit v1.5.X旨在支持PostgreSQL 13。
pgAudit v1.4.X旨在支持PostgreSQL 12。
pgAudit v1.3.X旨在支持PostgreSQL 11。
pgAudit v1.2.X旨在支持PostgreSQL 10。
pgAudit v1.1.X旨在支持PostgreSQL 9.6。
pgAudit v1.0.X旨在支持PostgreSQL 9.5。

相關(guān)配置參數(shù)：

pgaudit.log

指定會(huì)話審計(jì)日志記錄哪些語句類。可以設(shè)置的類別 read ,write ,function,role ,ddl,misc , All 等

READ：SELECT和COPY當(dāng)源是一個(gè)關(guān)系或查詢。
WRITE：INSERT，UPDATE，DELETE，TRUNCATE，以及COPY當(dāng)目標(biāo)的關(guān)系。
FUNCTION：函數(shù)調(diào)用和DO塊。
ROLE：關(guān)于角色和特權(quán)聲明：GRANT，REVOKE，CREATE/ALTER/DROP ROLE。
DDL：所有DDL未包含在ROLE該類中的內(nèi)容。
MISC：其他命令，例如DISCARD，F(xiàn)ETCH，CHECKPOINT，VACUUM，SET。
MISC_SET：其他SET命令，例如SET ROLE。
ALL：包括以上所有內(nèi)容。

pgaudit.log_catalog

指定當(dāng)一條語句中的所有關(guān)系都位于pg_catalog中時(shí)，應(yīng)該啟用會(huì)話日志記錄。禁用此設(shè)置將減少來自psql和PgAdmin等工具的日志噪音，這些工具會(huì)大量查詢目錄。

pgaudit.log_relation

指定會(huì)話審計(jì)日志記錄是否應(yīng)該為SELECT或DML語句中引用的每個(gè)關(guān)系(表、視圖等)創(chuàng)建多帶帶的日志條目。對于不使用對象審計(jì)日志記錄的窮舉日志記錄，這是一個(gè)非常有用的快捷方式。

例如我們要記錄 ddl ，role , functiton,以及更改系統(tǒng)配置方面的操作記錄

pgaudit.log_client

指定日志消息是否對客戶端進(jìn)程可見

pgaudit.log_level

指定日志級別.默認(rèn)為log

pgaudit.log_parameter

指定審核日志記錄是否包含語句傳遞的參數(shù)。默認(rèn)為off

pgaudit.log_statement_once

指定日志記錄是在語句/子語句組合的第一個(gè)日志條目中還是在每個(gè)條目中都包含語句文本和參數(shù)。

pgaudit.role

指定用于對象審核日志記錄的主角色。可以通過將多個(gè)審核角色授予主角色來定義多個(gè)審核角色

pgaudit 安裝：

▼▼▼
wget https://codeload.github.com/pgaudit/pgaudit/tar.gz/refs/tags/1.5.0
tar -xzvf pgaudit-1.5.0.tar.gz
cd pgaudit-1.5.0
make install USE_PGXS=1

在數(shù)據(jù)庫中創(chuàng)建pgaudit擴(kuò)展

▼▼▼
vi $PGDATA/postgresql.conf
shared_preload_libraries=pgaudit
pgaudit.log = all, -misc
pgaudit.log_catalog = on
pgaudit.log_client = on
pgaudit.log_level = log
pgaudit.log_parameter = on
pgaudit.log_relation = on
pgaudit.log_statement_once = on

數(shù)據(jù)庫重啟：
pg_ctl restart -D $PGDATA