セキュリティ監査機能を有効にすると、監査記録の保存方法も同時に設定されます。内部テーブルへの書き込みとローカルディスクファイルへの書き込みの2種類がサポートされています。設定に応じた場所にアクセスすることで、監査記録を確認できます。
ディスクファイル内の監査記録を確認する
セキュリティ監査情報は、非同期書き込みにより<インストールディレクトリ>/audit/に記録されます。デフォルトでは/home/admin/oceanbase/audit/observer_xx_xxxxxx.audに保存されます。
例：
$ pwd
/home/admin/oceanbase/audit
$ cat observer_47454_20200924144931.aud
2020-10-04 13:48:10.635533
LENGTH : '408'
ACTION :[23] 'create table t1(c0 int)'
ACTION_NUMBER:[1] '0'
STATUS:[1] '0'
ENTRYID:[1] '5'
STATEMENTID:[1] '3'
DBID:[16] '1100611139404836'
SESSIONID:[10] '3221505515'
PROXY SESSIONID:[4] '2816'
TENANTID:[4] '1001'
USERID:[16] '1100611139404786'
DATABASE USER:[9] 'AUDITTEST'
CLIENT TENANT:[3] 'ora'
CLIENT USER:[9] 'AUDITTEST'
CLIENT ADDRESS:[13] 'xx.xx.xx.xx'
PROXY CLIENT ADDRESS:[13] 'xx.xx.xx.xx'
説明
ファイルが長すぎる場合、自動的に切り捨てられます。
内部テーブルの監査記録を確認する
監査情報はシステムテーブルに直接書き込まれます。その中で、内部テーブル __all_tenant_security_audit_record には監査記録が格納され、内部テーブル __all_virtual_audit_operation または __all_virtual_audit_action には監査関連の ID と Name のマッピングが格納されます。
Oracle互換のディクショナリビューを通じて、内部テーブルに記録された監査記録を確認できます。
ディクショナリビュー |
機能の説明 |
|---|---|
| DBA_AUDIT_EXISTS | AUDIT EXISTS および AUDIT NOT EXISTS によって生成された監査トレイルエントリを表示します。 |
| DBA_AUDIT_OBJECT | データベース内のすべてのオブジェクトに関する監査トレイルエントリを表示します。 |
| DBA_AUDIT_SESSION | CONNECT および DISCONNECT に関するすべての監査トレイルエントリを表示します。 |
| DBA_AUDIT_STATEMENT | データベース全体における GRANT、REVOKE、AUDIT、NOAUDIT、および ALTER SYSTEM ステートメントに関する監査トレイルエントリを表示します。 |
| DBA_AUDIT_TRAIL | すべての監査トレイルエントリを表示します。 |
| USER_AUDIT_OBJECT | 現在のユーザーがアクセス可能なオブジェクトに関する監査トレイルエントリを表示します。 |
| USER_AUDIT_SESSION | 現在のユーザーの接続および切断に関する監査トレイルエントリを表示します。 |
| USER_AUDIT_STATEMENT | 現在のユーザーが発行した GRANT、REVOKE、AUDIT、NOAUDIT、および ALTER SYSTEM ステートメントに関する監査トレイルエントリを表示します。 |
| USER_AUDIT_TRAIL | 現在のユーザーに関連するすべての監査トレイルエントリを表示します。 |
DBA_AUDIT_TRAIL の監査記録を確認します。例：
obclient> SELECT USERNAME,USERHOST,TIMESTAMP,SQL_TEXT FROM SYS.DBA_AUDIT_TRAIL;
+----------+-------------+-----------+-----------------------------------------------------------------+
| USERNAME | USERHOST | TIMESTAMP | SQL_TEXT |
+----------+-------------+-----------+-----------------------------------------------------------------+
| AUD | xx.xx.xx.xx | 29-OCT-20 | DISCONNECT |
| AUD | xx.xx.xx.xx | 29-OCT-20 | CONNECT |
+----------+-------------+-----------+-----------------------------------------------------------------+