この章では、監査機能を有効にし、監査レコードの保存先を設定する方法について説明します。
OceanBaseデータベースの監査関連操作は、通常、組み込みのORAAUDITORユーザーによって実行されます。このユーザーのパスワードと権限はSYSユーザーが指定します。
手順
SYSユーザーでOracleテナントにログインし、ORAAUDITORユーザーのロックを解除します。obclient> ALTER USER ORAAUDITOR ACCOUNT UNLOCK;説明
OceanBaseデータベースは、デフォルトで
ORAAUDITORユーザーを作成します。このユーザーはデフォルトでロックされており、監査を使用する前にこのユーザーを有効にする必要があります。ORAAUDITORユーザーのログインパスワードを変更します。セキュリティを確保するため、
ORAAUDITORユーザーのログインパスワードはSYSユーザーが指定する必要があります。後からこのパスワードを変更する必要がある場合は、新しいパスワードを再度指定するだけです。obclient> ALTER USER ORAAUDITOR IDENTIFIED BY ******;ORAAUDITORユーザーの権限を設定します。ORAAUDITORユーザーにはデフォルトで権限が付与されていません。セキュリティ監査関連の操作を実行するためには、GRANTステートメントを使用してORAAUDITORユーザーにCREATE SESSION権限を付与する必要があります。ORAAUDITORユーザーに監査レコードの閲覧を許可する場合は、SELECT ANY DICTIONARY権限を付与する必要があります。obclient> GRANT CREATE SESSION, SELECT ANY DICTIONARY TO ORAAUDITOR;監査機能を有効にし、監査レコードの保存先を設定します。
パラメータ
audit_trailを使用して監査機能を有効にします。実行が成功すると即時に反映されます。このパラメータの取り得る値は以下のとおりです：NONE：監査を無効にします。デフォルト値です。OS：監査レコードをローカルディスクファイルに書き込みます。LOG：監査レコードを監査ログに書き込みます。この値はV4.4.2 BP2バージョンからサポートされています。DB：監査レコードを内部テーブルに書き込みます。DB,EXTENDED / DB_EXTENDED：監査レコードを内部テーブルに書き込み、レコードに実行されたSQLステートメントを含めます。
例：
obclient> ALTER SYSTEM SET audit_trail = 'DB,EXTENDED';audit_trail構成パラメータの詳細については、audit_trailを参照してください。説明
監査レコードは、内部テーブルへの書き込み、ローカルディスクファイルへの書き込み、および監査ログへの書き込みの3つの方法をサポートしています：
- ディスクファイルへの書き込み：
<インストールディレクトリ>/audit/に非同期書き込みで記録されます。デフォルトでは/home/admin/oceanbase/audit/observer_xx_xxxxxx.audに保存されます。 - 監査ログへの書き込み：監査レコードは監査ログファイルに書き込まれます。ログのアーカイブ、圧縮、ローテーション、クリーンアップ、暗号化などの管理戦略をサポートしており、V4.4.2 BP2バージョンから対応しています。
- 内部テーブルへの書き込み：監査情報はシステムテーブルに直接書き込まれます。内部テーブル
__all_tenant_security_audit_recordに監査レコードが格納され、内部テーブル__all_virtual_audit_operationまたは__all_virtual_audit_actionに監査関連のIDとNameのマッピングが格納されます。
監査ログの暗号化
説明
Oracleモードの監査ログ暗号化機能は、V4.4.2 BP2バージョンからサポートされています。
Oracleテナントは、監査レコードをログファイルに書き込む際(audit_trailがLOGの場合)、アーカイブログを平文または暗号化された形式でディスクに保存することをサポートしています。暗号化はaudit_log_encryption構成パラメータおよび監査関数AUDIT_LOG_ENCRYPTION_PASSWORD_SET()とAUDIT_LOG_ENCRYPTION_PASSWORD_GET()によって実現されます。具体的な手順については、本文末の構成ドキュメントを参照してください。
関連ドキュメント
セキュリティ監査に関するその他の操作については、次のドキュメントを参照してください：