שימוש בבקרת גישה למסד נתונים של MySQL

הפלאגין Cloud SQL for MySQL Audit מאפשר לתעד את הפעילות במסד הנתונים ולעקוב אחרי פעולות של משתמשים במכונות שלכם. ניהול יומני הביקורת האלה עוזר לכם לעמוד בדרישות הרגולטוריות ולזהות גישה לא מורשית.

במסמך הזה, אדמינים ומבקרים נקראים ביחד משתמשי ביקורת. לסקירה כללית, קראו את המאמר ביקורת של מסדי נתונים ב-MySQL. למידע נוסף על פלאגינים של MySQL, קראו את המאמר טעינת פלאגינים של MySQL.

לפני שמתחילים

יומני הביקורת Data Access

להפעיל ולהגדיר יומני ביקורת של גישה לנתונים. הגדרת יומני ביקורת של גישה לנתונים

ההרשאות שנדרשות למשתמשים עם הרשאת ביקורת

כדי להריץ את הפרוצדורות המאוחסנות של הביקורת, צריך הרשאות EXECUTE. אם אדמין צריך לשנות את הרשאות הגישה של מבקר לפרוצדורות המאוחסנות של הביקורת, הוא צריך להשתמש בפקודה GRANT או REVOKE בלקוח mysql. למידע נוסף על הרשאות משתמש, קראו את המאמר הרשאות משתמש ב-MySQL. לדוגמה, אם אדמין רוצה לתת למשתמש בשם user גישה לניהול כללי הביקורת, הוא יכול לתת את ההרשאות באמצעות ההצהרה הבאה:

CREATE USER 'user'@'%' IDENTIFIED BY 'password';
GRANT EXECUTE ON PROCEDURE mysql.cloudsql_list_audit_rule TO 'user'@'%';

אם האדמין ירצה לבטל את הגישה של המבקר, הוא יוכל לעשות את זה באמצעות ההצהרה הבאה:

REVOKE ALL ON PROCEDURE mysql.cloudsql_list_audit_rule FROM 'user'@'%';

כברירת מחדל, משתמשים שנוצרו באמצעות Cloud SQL (חוץ ממשתמשי IAM) הם אדמינים שיש להם את כל ההרשאות חוץ מ-FILE ו-SUPER, כולל כל ההרשאות לפרוצדורות המאוחסנות של הביקורת. כברירת מחדל, למשתמשי מסד נתונים ב-IAM אין הרשאות.

הפעלת הפלאגין Cloud SQL ל-MySQL Audit

הפלאגין Cloud SQL ל-MySQL Audit (cloudsql_mysql_audit) שולט בהתנהגות הביקורת של מכונה נתונה של מסד נתונים. כדי להשתמש בפלאגין, צריך קודם להפעיל אותו במכונה של Cloud SQL.

כדי להפעיל את הפלאגין של cloudsql_mysql_audit, אפשר להשתמש באחת מהאפשרויות הבאות:

• --cloudsql_mysql_audit=ON

  מורה לשרת להפעיל את הפלאגין. אם הפלאגין לא מופעל, השרת פועל כשהפלאגין מושבת.

• --cloudsql_mysql_audit=FORCE

  השרת מפעיל את הפלאגין, אבל אם ההפעלה נכשלת, השרת לא מתחיל לפעול. במילים אחרות, האפשרות הזו מאלצת את השרת לפעול כשהפלאגין מופעל, או לא לפעול בכלל.

• --cloudsql_mysql_audit=FORCE_PLUS_PERMANENT

  כמו FORCE, אבל גם מונע את פריקת הפלאגין בזמן הריצה. אם משתמש מנסה להסיר את הפלאגין באמצעות UNINSTALL PLUGIN, מתרחשת שגיאה.

מצבי ההפעלה של הפלאגינים מופיעים בעמודה PLUGIN_STATUS בטבלה INFORMATION_SCHEMA.PLUGINS.

gcloud sql instances patch INSTANCE_NAME \
           --database-flags cloudsql_mysql_audit=ON

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

הגדרות של Cloud SQL ל-MySQL Audit Plugin

אתם יכולים לשנות את ההתנהגות של הפלאגין לביקורת של Cloud SQL ל-MySQL באמצעות הדגלים הבאים. אפשר לשנות את כל הדגלים בלי להפעיל מחדש את מסד הנתונים. במאמר הגדרת דגלים לניהול מסדי נתונים מוסבר איך לנהל את הדגלים.

• cloudsql_mysql_audit_data_masking_regex

  ביטוי רגולרי שמשמש להסתרת נתונים ותואם לביטויים רגולריים תואמי Perl (PCRE).

  כברירת מחדל, ביומן הביקורת שנוצר, הסיסמאות של המשתמשים (<psw>) מוחלפות במסכת סיסמה של ***.

  הביטוי הרגולרי חל רק על הצהרות עם סוג פקודה שצוין באמצעות cloudsql_mysql_audit_data_masking_cmds. כשמשתמשים ב-gcloud, צריך להשתמש בקובץ דגל כדי להגדיר ערכים עם תווים מיוחדים מורכבים.

  ערכי ברירת המחדל של הדגל הזה:

  
  identified(?:/\*.*?\*/|\s)*?by(?:/\*.*?\*/|\s)*?(?:password)?(?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?\((?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"](?:/\*.*?\*/|\s)*?\)|password(?:/\*.*?\*/|
  \s)*?(?:for(?:/\*.*?\*/|\s)*?\S+?)?(?:/\*.*?\*/|\s)*?=(?:/\*.*?\*/|\s)*?[
  '|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?['|"](?<psw>.*?)
  (?<!\\)['|"]
  
  

  ריכזנו כאן כמה דוגמאות.

  • בלי cloudsql_mysql_audit_data_masking_regex, רשומה ביומן הביקורת שמתארת פקודה ליצירת משתמש תיראה כך:

    {..."cmd":"create_user","query":"create user user1@'localhost' identified
    by 'pw'"}

  • עם ערך ברירת המחדל cloudsql_mysql_audit_data_masking_regex, אותו יומן ביקורת ישתנה ל:

    {..."cmd":"create_user","query":"create user user1@'localhost' identified by
    '***'"}

  • אם מגדירים את cloudsql_mysql_audit_data_masking_regex לערך (?<psw>.*), ‏Cloud SQL יכול לסנן את כל תוכן השאילתה.

    {..."cmd":"create_user","query":"***"}

• cloudsql_mysql_audit_data_masking_cmds

  רשימה מופרדת בפסיקים של פקודות שעליהן חל הביטוי הרגולרי להסתרת נתונים (cloudsql_mysql_audit_data_masking_regex). כדי להפסיק את הסינון, מגדירים מחרוזת ריקה (""). כשמשתמשים ב-gcloud, צריך להשתמש בקובץ דגל כדי להגדיר רשימה מופרדת בפסיקים. ערך ברירת המחדל כולל פקודות MySQL עם סעיף הסיסמה הבא:

  create_user,alter_user,grant,update

• cloudsql_mysql_audit_max_query_length

  המדיניות קובעת את האורך המקסימלי של השאילתה שתישמר ביומן הביקורת. אם אתם לא צריכים לראות את פרטי השאילתה, אתם יכולים להשתמש ב-0, וכך השאילתה לא תתועד ביומן הביקורת. כך אפשר לחסוך מקום אחסון ביומן ולהוזיל את העלות. ‫-1 פירושו שאין הגבלה. ברירת המחדל היא -1.

• cloudsql_mysql_audit_log_write_period

  תקופת הכתיבה של היומן, שבה ה-writer thread כותב את תוכן מאגר הנתונים הזמניים בדיסק אחרי שהגיע למספר אלפיות השנייה שהגדרתם לאפשרות הדגל הזו, או כשמאגר הנתונים הזמניים מלא. אם מגדירים את האפשרות הזו ל-0, השרשור של המשתמש נאלץ להמתין להודעה מהשרשור של הכותב על כך שהכתיבה הושלמה. ערך ברירת המחדל הוא 500 (אלפיות השנייה).

        gcloud sql instances patch INSTANCE_NAME /
                   --database-flags FLAG_NAME=FLAG_VALUE
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

הגדרת ביקורת של מסד נתונים

ניהול כללי ביקורת

ב-Cloud SQL נעשה שימוש בקבוצה של פרוצדורות מאוחסנות כדי לנהל את כללי הביקורת של הפלאגין Cloud SQL ל-MySQL Audit. יש ארבע פרוצדורות מאוחסנות שאפשר להשתמש בהן כדי ליצור, להציג, לעדכן ולמחוק כללי ביקורת.

כל פרוצדורה מאוחסנת מחזירה שני משתנים: @outval ו-@outmsg. המשתנים האלה מציינים את קוד הסטטוס ואת הודעת השגיאה של הפרוצדורה המאוחסנת, בהתאמה. אפשר להשתמש בכוכבית (*) כתו כללי לחיפוש של שמות משתמשים, מארחים, מסדי נתונים וטבלאות. אפשר להשתמש בכוכבית כסיומת, כתחילית או גם וגם. בנוסף, אפשר להשתמש בתו הכללי לחיפוש % רק למארחים. אפשר להשתמש בסימן הטעמה משנית (`) כדי לציין שצריך להשתמש במחרוזת באופן מילולי. לדוגמה, `ta*ble` תואם באופן מילולי.

כדי שהשינויים החדשים ייכנסו לתוקף, צריך להריץ את הפרוצדורות המאוחסנות עם הפרמטר reload_mode=1 או לקרוא ל-mysql.cloudsql_reload_audit_rule(1).

יצירת כללי ביקורת

אתם יכולים להשתמש ב-mysql.cloudsql_create_audit_rule כדי ליצור כלל ביקורת חדש.

כדי ליצור את כלל הביקורת ולטעון אותו מחדש בקריאה אחת, משתמשים בהצהרה הבאה:

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',1, @outval,@outmsg);
SELECT @outval, @outmsg;

כדי ליצור את הכלל ולטעון אותו מחדש בקריאה נפרדת, משתמשים בהצהרה הבאה:

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',0, @outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

הפקודה הקודמת מאפשרת ליצור כמה כללים ואז לטעון מחדש את כל השינויים בו-זמנית.

בטבלאות הבאות מפורטים הפרמטרים של הקלט והפלט של הפקודה הקודמת.

אלה המגבלות של כללי הביקורת:

הצגת רשימה של כללי ביקורת

מבקרים יכולים להשתמש ב-mysql.cloudsql_list_audit_rule כדי להציג רשימה של כללי ביקורת קיימים.

כדי להציג את כללי הביקורת 1 ו-2, משתמשים בפקודות הבאות:

CALL mysql.cloudsql_list_audit_rule('1,2',@outval,@outmsg);
SELECT @outval, @outmsg;

כדי להציג את כל כללי הביקורת:

CALL mysql.cloudsql_list_audit_rule('*',@outval,@outmsg);
SELECT @outval, @outmsg;

בטבלאות הבאות מפורטים הפרמטרים של הקלט והפלט של הפקודה הקודמת.

עדכון כללי הביקורת

אפשר להשתמש ב-mysql.cloudsql_update_audit_rule כדי לעדכן כלל ביקורת קיים.

כדי לעדכן את כלל הביקורת ולטעון אותו מחדש בקריאה אחת, משתמשים בהצהרה הבאה:

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',1,@outval,@outmsg);
SELECT @outval, @outmsg;

יכול להיות שתרצו לעדכן כמה כללי ביקורת בסשן אחד לפני שתטענו מחדש את הכללים. אתם יכולים להשתמש בפרוצדורה המאוחסנת הבאה כדי לעדכן את הכללים בשלב אחד, ואז לטעון מחדש את הכללים האלה בשלב מאוחר יותר.

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

בטבלאות הבאות מפורטים הפרמטרים של הקלט והפלט של הפקודה הקודמת.

אלה המגבלות של כללי הביקורת:

מחיקת כללי ביקורת

אתם יכולים להשתמש ב-mysql.cloudsql_delete_audit_rule כדי למחוק כלל ביקורת קיים.

כדי למחוק את כלל הביקורת ולטעון אותו מחדש בקריאה אחת, משתמשים בהצהרה הבאה:

CALL mysql.cloudsql_delete_audit_rule('1,2',1,@outval,@outmsg);
SELECT @outval, @outmsg;

כדי למחוק את הכלל ולטעון אותו מחדש בקריאה נפרדת, משתמשים בהצהרה הבאה:

CALL mysql.cloudsql_delete_audit_rule('1,2',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL cloudsql_reload_audit_rule(1);

הפקודה הקודמת מאפשרת למחוק כמה כללים ואז לטעון מחדש את כל השינויים בו-זמנית.

בטבלאות הבאות מפורטים הפרמטרים של הקלט והפלט של הפקודה הקודמת.

קבוצות של פעולות

הפלאגין Cloud SQL for MySQL Audit תומך בשימוש בקבוצות של פעולות בהגדרות של כללים, כדי לבצע ביקורת על אוספים של פעילויות. כדי לפשט את היצירה של כללי ביקורת, אתם יכולים להשתמש בקבוצות הפעולות הבאות.

צפייה ביומני ביקורת של מסדי נתונים ב-Cloud SQL

צפייה ברשומות של יומן הביקורת של מסד הנתונים ב-Cloud Logging

כדי לצפות ביומני הביקורת של מסד הנתונים, קודם צריך לוודא שהפעלתם את יומני הביקורת של הגישה לנתונים בפרויקט. יומני הביקורת של MySQL שנוצרים במכונה מסוימת נשלחים ל-Cloud Logging בתור יומני ביקורת של גישה לנתונים. אפשר לראות את יומני הביקורת שנוצרו במסד הנתונים של MySQL בדף Logs Explorer.

ב-Logs Explorer, אתם יכולים להציג את יומני הביקורת של MySQL באמצעות השאילתה הבאה, כדי להציג את כל יומני הביקורת של מסד הנתונים של MySQL בפרויקט נתון ב-Cloud SQL.

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט שרוצים למצוא את יומני הביקורת שלו.

    resource.type="cloudsql_database"
    log_name="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access"
    protoPayload.request.@type="type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"

אפשר גם לבחור את מסנן היומנים cloudaudit.googleapis.com/data_access.

הפורמט של יומן הביקורת

יומן ביקורת כולל את השדות הבאים.

הדוגמה הבאה מציגה רשומה ביומן הביקורת.

{
"msgType":"activity",
"status":"unsuccessful",
"date":"2021-11-11T06:16:16.163603Z",
"threadId":"750",
"queryId":"26763",
"user":"root",
"priv_user":"root",
"ip":"",
"host":"localhost",
"errCode":"1146",
"cmd":"select",
"objects":[{"db":"test","name":"t4","obj_type":"TABLE"}],
"query":"select * from test.t4",
"chunkCount":2,
"chunkIndex":2,
"@type":"type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"
}

השבתת הביקורת של מסד הנתונים

כדי להשבית את הפלאגין Cloud SQL ל-MySQL Audit, אתם יכולים להגדיר את הדגל לניהול מסד הנתונים cloudsql_mysql_audit למצב OFF או להסיר את הדגל.

    gcloud sql instances patch INSTANCE_NAME \
               --database-flags cloudsql_mysql_audit=OFF
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

דוגמאות לכללי ביקורת

1. כדי לבדוק את כל הפעילויות של כל המשתמשים:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','B',1,@outval,@outmsg);

2. ביקורת של כל הפעילויות של משתמש אחד user1:

   CALL mysql.cloudsql_create_audit_rule('user1@*','*','*','*','B',1,@outval,@outmsg);

3. כדי לבקר את כל הפעילויות של כל המשתמשים שמתחילות ב-user:

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','B',1, @outval,@outmsg);

4. ביקורת על כל פעולות ה-DML של כל המשתמשים:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','dml','B',1,@outval,@outmsg);

5. ביקורת על פעולת בחירה במסד נתונים מיוחד db1:

   CALL mysql.cloudsql_create_audit_rule('*','db1','*','select','B',1,@outval,@outmsg);

6. ביקורת על כל הפעילויות במסד נתונים עם התו המיוחד db~1:

   CALL mysql.cloudsql_create_audit_rule('*','`db~1`','*','*','B',1,@outval,@outmsg);

7. ביקורת על פעולות בחירה ומחיקה בטבלה db1.table1:

   CALL mysql.cloudsql_create_audit_rule('*','db1','table1','select,delete','B',1,@outval,@outmsg);

8. ביקורת על כל הפעולות שהצליחו:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','S',1,@outval,@outmsg);

9. לא לבצע ביקורת על כל הפעילויות של כל המשתמשים שמתחילות ב-user:

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','E',1, @outval,@outmsg);

פתרון בעיות

SHOW PLUGINS

CALL mysql.cloudsql_reload_audit_rule(1)

cloudsql_mysql_audit=ON

--database-flags:
general_log: OFF
cloudsql_mysql_audit_max_query_length: '20'
cloudsql_mysql_audit_data_masking_cmds: select,update

gcloud sql instances patch --flags-file=flagfile

USE db_name

SHOW VARIABLES

CALL mysql.cloudsql_reload_audit_rule(1)

CALL mysql.cloudsql_list_audit_rule('*',@outval,@outmsg);
SELECT @outval, @outmsg;

SET innodb_lock_wait_timeout=120

המאמרים הבאים

• מידע נוסף על ביקורת של מסד נתונים ב-MySQL
• הרשימה המלאה של הפעולות לביקורת מסד הנתונים