audit_log_encryption_password_get()

Возвращает текущий пароль шифрования журнала аудита в виде двоичной строки. Пароль извлекается из хранилища ключей MySQL, которое должно быть включено, иначе произойдет ошибка. Можно использовать любой плагин хранилища ключей; инструкции см. в разделе 6.4.4 «Хранилище ключей MySQL».

Дополнительную информацию о шифровании журнала аудита см. в разделе «Шифрование файлов журнала аудита».

Аргументы:

Нет.

Возвращаемое значение:

Строка пароля для успеха (до 766 байт) или NULL и сообщение об ошибке для неудачи.

Пример:

mysql> SELECT audit_log_encryption_password_get();
+-------------------------------------+
| audit_log_encryption_password_get() |
+-------------------------------------+
| secret                              |
+-------------------------------------+

audit_log_encryption_password_set(password)

Устанавливает пароль шифрования журнала аудита на заданное значение, сохраняет пароль в хранилище ключей MySQL. Если шифрование включено, функция выполняет операцию вращения файла журнала, переименовывая текущий файл журнала и создавая новый зашифрованный файл с указанным паролем. Хранилище ключей должно быть включено, иначе произойдет ошибка. Можно использовать любой плагин хранилища ключей; инструкции см. в разделе 6.4.4 «Хранилище ключей MySQL».

Дополнительную информацию о шифровании журнала аудита см. в разделе «Шифрование файлов журнала аудита».

Аргументы:

password: Строка пароля. Максимальная длина — 766 байт.

Возвращаемое значение:

1 — успех, 0 — неудача.

Пример:

mysql> SELECT audit_log_encryption_password_set(password);
+---------------------------------------------+
| audit_log_encryption_password_set(password) |
+---------------------------------------------+
| 1                                           |
+---------------------------------------------+

audit_log_filter_flush()

Вызов любой из других функций фильтрации немедленно влияет на оперативную фильтрацию журнала аудита и обновляет таблицы журнала аудита. Если вместо этого вы изменяете содержимое этих таблиц напрямую с помощью таких операторов, как INSERT, UPDATE и DELETE, изменения не повлияют на фильтрацию немедленно. Чтобы применить изменения и сделать их активными, вызовите audit_log_filter_flush().

Если эта функция завершится с ошибкой, возвращается сообщение об ошибке, и журнал аудита отключается до следующего успешного вызова audit_log_filter_flush().

Аргументы:

Нет.

Возвращаемое значение:

Строка, указывающая, успешно ли выполнена операция. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_flush();
+--------------------------+
| audit_log_filter_flush() |
+--------------------------+
| OK                       |
+--------------------------+

audit_log_filter_remove_filter(filter_name)

Удалить фильтр из текущего набора фильтров по имени фильтра. Если фильтра нет, это не ошибка.

Если удаленный фильтр назначен каким-либо учетным записям пользователей, эти пользователи больше не будут отфильтрованы (они удалены из таблицы audit_log_user). Прекращение фильтрации включает все текущие сеансы для этих пользователей: они отсоединяются от фильтра и больше не регистрируются.

Аргументы:

Возвращаемое значение:

Строка, указывающая, успешно ли выполнена операция. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_remove_filter('SomeFilter');
+----------------------------------------------+
| audit_log_filter_remove_filter('SomeFilter') |
+----------------------------------------------+
| OK                                           |
+----------------------------------------------+

audit_log_filter_remove_user(user_name)

Удалить пользователя из набора назначенных фильтров по имени пользователя. Если пользователь не назначен ни к одному фильтру, это не ошибка. Фильтрация текущих сеансов пользователя остается без изменений. Новые подключения для пользователя фильтруются с помощью фильтра по умолчанию, если он существует, или не регистрируются.

Если имя равно %, функция удаляет фильтр по умолчанию, который используется для всех учетных записей пользователей, не имеющих явно назначенного фильтра.

Аргументы:

Возвращаемое значение:

Строка, указывающая, успешно ли выполнена операция. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_remove_user('user1@localhost');
+-------------------------------------------------+
| audit_log_filter_remove_user('user1@localhost') |
+-------------------------------------------------+
| OK                                              |
+-------------------------------------------------+

audit_log_filter_set_filter(filter_name, definition)

Добавить фильтр в текущий набор фильтров по имени фильтра и определению. Если фильтр уже существует и используется какими-либо текущими сеансами, эти сеансы отсоединяются от фильтра и больше не регистрируются, так как у нового определения фильтра новый идентификатор, отличающийся от предыдущего.

Аргументы:

Возвращаемое значение:

Строка, указывающая, успешно ли выполнена операция. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SET @f = '{ "filter": { "log": false } }';
mysql> SELECT audit_log_filter_set_filter('SomeFilter', @f);
+-----------------------------------------------+
| audit_log_filter_set_filter('SomeFilter', @f) |
+-----------------------------------------------+
| OK                                            |
+-----------------------------------------------+

audit_log_filter_set_user(user_name, filter_name)

Назначить пользователю фильтр по имени пользователя и имени фильтра. Пользователю может быть назначен только один фильтр, поэтому если пользователю уже назначен фильтр, назначение заменяется. Фильтрация текущих сеансов пользователя остается без изменений. Новые подключения фильтруются с помощью нового фильтра.

В качестве специального случая, имя % представляет учетную запись по умолчанию. Фильтр используется для подключений от любой учетной записи пользователя, которому не назначен явно фильтр.

Аргументы:

Возвращаемое значение:

Строка, указывающая, успешно ли выполнена операция. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_set_user('user1@localhost', 'SomeFilter');
+------------------------------------------------------------+
| audit_log_filter_set_user('user1@localhost', 'SomeFilter') |
+------------------------------------------------------------+
| OK                                                         |
+------------------------------------------------------------+

audit_log_read([arg])

Читает журнал аудита и возвращает бинарную JSON строку результата. Если формат журнала аудита не JSON, возникает ошибка.

Без аргумента или с аргументом в виде JSON хэш-значения, функция audit_log_read() считывает события из журнала аудита и возвращает JSON строку, содержащую массив событий аудита. Элементы в аргументе хэш влияют на процесс чтения, как описано ниже. Каждый элемент в возвращаемом массиве представляет собой событие, представленное в виде JSON хэша, за исключением последнего элемента, который может быть JSON null значением, указывающим на то, что следующие события для чтения недоступны.

С аргументом в виде JSON null значения, функция audit_log_read() закрывает текущую последовательность чтения.

Дополнительные сведения о процессе чтения журнала аудита см. в Разделе 6.4.5.6 «Чтение файлов журнала аудита».

Аргументы:

arg: Аргумент является необязательным. Если он опущен, функция считывает события с текущей позиции. Если присутствует, аргумент может быть JSON null значением для закрытия последовательности чтения, или JSON хэш-значением. Внутри аргумента хэш-значения, элементы являются необязательными и управляют аспектами операции чтения, такими как позиция, с которой следует начать чтение, или количество считываемых событий. Следующие элементы важны (другие элементы игнорируются):

Возвращаемое значение:

При успешном выполнении вызов возвращает бинарную JSON строку, содержащую массив событий аудита, или JSON null значение, если оно было передано в качестве аргумента для закрытия последовательности чтения. Если вызов завершился ошибкой, возвращаемое значение — NULL и возникает ошибка.

Пример:

mysql> SELECT audit_log_read(audit_log_read_bookmark());
+-----------------------------------------------------------------------+
| audit_log_read(audit_log_read_bookmark())                             |
+-----------------------------------------------------------------------+
| [ {"timestamp":"2020-05-18 22:41:24","id":0,"class":"connection", ... |
+-----------------------------------------------------------------------+
mysql> SELECT audit_log_read('null');
+------------------------+
| audit_log_read('null') |
+------------------------+
| null                   |
+------------------------+

audit_log_read_bookmark()

Возвращает бинарную JSON строку, представляющую закладку для последнего записанного события журнала аудита. Если формат журнала аудита не JSON, возникает ошибка.

Закладка — это JSON хэш с timestamp и id элементами, которые однозначно идентифицируют положение события в журнале аудита. Она подходит для передачи в функцию audit_log_read(), чтобы указать функции позицию, с которой следует начать чтение.

Дополнительные сведения о процессе чтения журнала аудита см. в Разделе 6.4.5.6 «Чтение файлов журнала аудита».

Аргументы:

Нет.

Возвращаемое значение:

Бинарная JSON строка, содержащая закладку при успешном выполнении, или NULL и ошибка при ошибке.

Пример:

mysql> SELECT audit_log_read_bookmark();
+-------------------------------------------------+
| audit_log_read_bookmark()                       |
+-------------------------------------------------+
| { "timestamp": "2019-10-03 21:03:44", "id": 0 } |
+-------------------------------------------------+

audit_log_buffer_size

Когда плагин журнала аудита асинхронно записывает события в журнал, он использует буфер для хранения содержимого событий перед записью. Эта переменная управляет размером этого буфера в байтах. Сервер корректирует значение до кратного 4096. Плагин использует один буфер, который он выделяет при инициализации и удаляет при завершении работы. Плагин выделяет этот буфер только в том случае, если ведение журнала является асинхронным.

audit_log_compression

Тип сжатия для файла журнала аудита. Допустимые значения: NONE (без сжатия; значение по умолчанию) и GZIP (сжатие GNU Zip). Для получения дополнительной информации см. Сжатие файлов журнала аудита.

audit_log_connection_policy

Политика, управляющая тем, как плагин журнала аудита записывает события подключения в свой файл журнала. В следующей таблице показаны допустимые значения.

audit_log_current_session

Включено ли ведение журнала аудита для текущей сессии. Значение сессии этой переменной доступно только для чтения. Оно устанавливается при начале сессии на основе значений системных переменных audit_log_include_accounts и audit_log_exclude_accounts. Плагин журнала аудита использует значение сессии для определения того, следует ли аудировать события для сессии. (Существует глобальное значение, но плагин его не использует.)

audit_log_disable

Позволяет отключить ведение журнала аудита для всех подключаемых и подключенных сеансов. Для отключения ведения журнала аудита требуется привилегия SUPER. См. Раздел 6.4.5.9, «Отключение ведения журнала аудита».

audit_log_encryption

Тип шифрования для файла журнала аудита. Допустимые значения: NONE (без шифрования; значение по умолчанию) и AES (шифрование с помощью шифра AES-256-CBC). Для получения дополнительной информации см. Шифрование файлов журнала аудита.

audit_log_exclude_accounts

Учетные записи, для которых события не должны регистрироваться. Значение должно быть NULL или строкой, содержащей список из одного или нескольких имен учетных записей, разделенных запятыми. Для получения дополнительной информации см. Раздел 6.4.5.7, «Фильтрация журнала аудита».

Изменения в audit_log_exclude_accounts влияют только на подключения, созданные после изменения, а не на существующие подключения.

audit_log_file

Основное имя и суффикс файла, в который плагин журнала аудита записывает события. Значение по умолчанию — audit.log, независимо от формата протоколирования. Чтобы суффикс имени соответствовал формату, укажите имя явно, выбрав другой суффикс (например, audit.xml для формата XML, audit.json для формата JSON).

Если значение audit_log_file — имя относительного пути, плагин интерпретирует его относительно каталога данных. Если значение — полное имя пути, плагин использует его как есть. Полное имя пути может быть полезно, если требуется расположить файлы аудита на отдельной файловой системе или каталоге. По соображениям безопасности записывайте файл журнала аудита в каталог, доступный только серверу MySQL и пользователям, имеющим законное основание просматривать журнал.

Подробную информацию о том, как плагин журнала аудита интерпретирует значение audit_log_file и правила переименования файлов, происходящие при инициализации и завершении работы плагина, см. в Соглашения об именовании файлов журнала аудита.

Начиная с MySQL 5.7.21, плагин журнала аудита использует каталог, содержащий файл журнала аудита (определяется из значения audit_log_file), в качестве расположения для поиска читаемых файлов журнала аудита. Из этих файлов журнала и текущего файла плагин строит список тех файлов, которые подлежат использованию с функциями помечания и чтения журнала аудита. См. Раздел 6.4.5.6, “Чтение файлов журнала аудита”.

audit_log_filter_id

Значение сеанса этой переменной указывает внутренний ID фильтра аудита для текущего сеанса. Значение 0 означает, что сеансу не назначен фильтр.

audit_log_flush

Если audit_log_rotate_on_size равно 0, автоматическое вращение файла журнала аудита отключено, и вращение происходит только при ручном выполнении. В этом случае включение audit_log_flush путем установки его в 1 или ON заставляет плагин журнала аудита закрывать и повторно открывать файл журнала для его очистки. (Значение переменной остается OFF, так что вам не нужно его явно отключать перед повторным включением для выполнения другой очистки.) Дополнительная информация находится в Разделе 6.4.5.5, “Настройка характеристик ведения журнала аудита”.

audit_log_format

Формат файла журнала аудита. Разрешенные значения — OLD (старый стиль XML), NEW (новый стиль XML; значение по умолчанию) и (начиная с MySQL 5.7.21) JSON. Подробную информацию о каждом формате см. в Разделе 6.4.5.4, “Форматы файлов журнала аудита”.

audit_log_format_unix_timestamp

Эта переменная применяется только для вывода журнала аудита в формате JSON. Если это так, включение этой переменной добавляет в каждую запись файла журнала поле time. Значение поля — целое число, представляющее значение метки времени Unix, указывающее дату и время создания события аудита.

Изменение значения этой переменной во время выполнения приводит к вращению файла журнала, так что для данного файла журнала в формате JSON все записи в файле либо включают, либо не включают поле time.

audit_log_include_accounts

Учетные записи, события которых необходимо регистрировать. Значение должно быть NULL или строкой, содержащей список одного или нескольких имен учетных записей, разделенных запятыми. Дополнительную информацию см. в Разделе 6.4.5.7, “Фильтрация журнала аудита”.

Изменения в audit_log_include_accounts затрагивают только подключения, созданные после изменения, а не существующие.

audit_log_policy

Политика, определяющая, как плагин журнала аудита записывает события в свой файл журнала. В следующей таблице показаны допустимые значения.

audit_log_policy можно установить только при запуске сервера. Во время выполнения это — переменная только для чтения. Две другие системные переменные, audit_log_connection_policy и audit_log_statement_policy, обеспечивают более точный контроль над политикой ведения журнала и могут быть установлены как при запуске, так и во время выполнения. Если вы используете audit_log_policy при запуске вместо двух других переменных, сервер использует её значение для установки этих переменных. Дополнительную информацию о переменных политики и их взаимодействии см. в Разделе 6.4.5.5, «Настройка характеристик ведения журнала аудита».

audit_log_read_buffer_size

Размер буфера для чтения из файла журнала аудита в байтах. Функция audit_log_read() читает не более указанного количества байтов. Чтение файлов журналов поддерживается только для формата журналов JSON. Дополнительную информацию см. в Разделе 6.4.5.6, «Чтение файлов журнала аудита».

Начиная с MySQL 5.7.23, значение по умолчанию этой переменной составляет 32 КБ и может быть установлено во время выполнения. Каждый клиент должен соответствующим образом установить своё сессионное значение audit_log_read_buffer_size для использования audit_log_read(). До MySQL 5.7.23, audit_log_read_buffer_size имеет значение по умолчанию 1 МБ, влияет на всех клиентов и может быть изменено только при запуске сервера.

audit_log_rotate_on_size

Если audit_log_rotate_on_size равно 0, плагин журнала аудита не выполняет автоматическую ротацию файла журнала на основе размера. Если ротация необходима, её следует выполнить вручную; см. Вручную ротация файла журнала аудита.

Если audit_log_rotate_on_size больше 0, происходит автоматическая ротация файла журнала на основе размера. Всякий раз, когда запись в файл журнала приводит к превышению значения audit_log_rotate_on_size, плагин журнала аудита переименовывает текущий файл журнала и открывает новый текущий файл журнала с использованием исходного имени.

Если вы установите audit_log_rotate_on_size на значение, которое не кратно 4096, оно усекается до ближайшего кратного. В частности, установка значения меньше 4096 устанавливает его в 0, и ротация не происходит, кроме как вручную.

Дополнительную информацию о ротации файлов журнала аудита см. в Разделе «Управление пространством файлов журнала аудита».

audit_log_statement_policy

Политика, определяющая, как плагин журнала аудита записывает события выполнения запросов в свой файл журнала. В следующей таблице показаны допустимые значения.

audit_log_strategy

Метод ведения журнала, используемый плагином журнала аудита. Разрешены следующие стратегии: