TiDB Database Auditing User Guide (new)

• 语言: 英语
• 格式: .pdf
• 来源: static.pingcap.com

摘要

文档详细介绍了TiDB数据库审计功能，包括其与旧审计插件的区别、功能范围、事件分类、日志记录信息、过滤规则、日志格式以及系统变量的配置。数据库审计功能能够记录查询、事务和用户登录事件，支持文本和JSON格式的日志，并通过过滤规则和系统变量实现灵活的配置和管理。文档还提供了如何从旧插件迁移至新功能的指导，并强调了审计日志的保留和清理策略。

AI总结

# TiDB 数据库审计用户指南总结

## 1. 概述
TiDB 数据库审计是 TiDB Enterprise Edition 的重要功能，提供强大的监控和审计工具。通过记录查询语句、事务操作和用户登录事件等信息，帮助企业管理数据安全、合规性，并跟踪数据库操作的来源和影响，防止数据泄露或篡改。TiDB v7.1.0 引入了 redesigned 数据库审计功能，取代了旧的审计插件。

## 2. 数据库审计与审计插件的区别
| 特性 | 数据库审计 | 审计插件 |
|------|------------|----------|
| 开关方式 | `set global tidb_audit_enabled = 1/0` | `admin plugins enable audit;`/`disable` |
| 事件分类 | 一个 SQL 可对应多个事件 | 仅一个事件 |
| 配置方式 | 使用过滤器和规则 | 修改表并刷新配置 |
| 过滤方式 | 支持 JSON 通配符 | 支持正则表达式 |

## 3. 获取数据库审计功能
- 数据库审计是 TiDB Enterprise Edition 的功能，需通过 TiDB 企业页面获取。
- 提供支持服务，帮助企业配置和使用。

## 4. 审计范围
- **覆盖范围**：所有用户界面操作（包括预编译语句接口）、TiCDC 写入、TiDB 数据迁移写入、BR 备份（SQL 接口）。
- **不覆盖范围**：内部数据库操作、用户操作衍生的操作、TiDB Lightning 导入、TiSpark 相关操作、外部工具发起的 BR 备份、`PREPARE` 和 `EXECUTE` 语句（实际执行语句会被审计）、数据库启停、扩缩节点等。

## 5. 审计事件分类
TiDB 数据库审计将 SQL 操作分为多个事件类，每个事件类可有子类。例如：
- `QUERY` 是父类，子类包括 `SELECT`、`INSERT` 等。
- `AUDIT` 是与审计相关的事件，子类包括 `AUDIT_SET_SYS_VAR`、`AUDIT_ENABLE` 等。

**优势**：
- 不同事件类记录不同信息，便于筛选和分析。
- 支持按事件类过滤审计日志。

## 6. 审计日志记录信息
### 通用信息
- **ID**：唯一标识符。
- **EVENT**：事件类，多个事件用逗号分隔。
- **USER**：用户名。
- **ROLES**：用户角色。

### SQL 语句信息
- **SQL_TEXT**：执行的 SQL 语句。
- **CURRENT_DB**：当前数据库。
- **TABLES**：访问的表。

### 连接信息
- **CLIENT_IP** 和 **CLIENT_PORT**：客户端信息。
- **CONNECTION_ID**：连接 ID。

### 审计操作信息
- **AUDIT_OP_TARGET**：审计操作的目标（如系统变量、函数）。
- **AUDIT_OP_ARGS**：审计操作的参数。

## 7. 审计日志格式与管理
- **支持格式**：文本和 JSON。
- **日志轮转**：支持手动或基于文件大小/时间自动轮转。
- **保留策略**：通过变量 `tidb_audit_log_reserved_backups` 和 `tidb_audit_log_reserved_days` 设置保留天数和备份数。
- **日志清洗**：支持手动（`tiup cluster clean`）或自动清洗。

## 8. 审计日志过滤与规则
- **过滤器**：定义审计目标，如事件类型和数据库名称。
- **规则**：指定过滤器适用的用户。
- **注意事项**：审计事件无法被排除，所有满足条件的记录都会被记录。

## 9. 动态权限
- **AUDIT_ADMIN**：安全增强模式关闭时，拥有该权限的用户可进行审计配置。
- **RESTRICTED_AUDIT_ADMIN**：安全增强模式开启时，拥有该权限的用户可进行审计配置。

## 10. 从审计插件迁移
- **兼容性**：旧插件与新审计功能无冲突。
- **推荐迁移**：从 TiDB v7.1 起，建议迁移以获取更强大的功能。
- **步骤**：
1. 重新配置新审计功能。
2. 禁用旧插件：`unset mysql> admin plugins disable audit;`。
3. 刷新配置：`flush tidb plugins audit`。

## 11. 其他注意事项
- **不支持的操作**：TiSpark 操作、TiDB Lightning 导入等不会被审计。
- **日志红action**：通过变量 `tidb_audit_log_redacted` 控制敏感信息脱敏。

总结：TiDB 数据库审计功能强大，支持灵活配置和丰富过滤规则，帮助企业实现高效的数据安全和合规管理。