Чтобы явно включить или отключить ведение журнала всех событий, используйте элемент log в фильтре:

{
  "filter": { "log": true }
}

Значение log может быть либо true, либо false.

Предшествующий фильтр включает ведение журнала всех событий. Он эквивалентен:

{
  "filter": { }
}

Поведение ведения журнала зависит от значения log и наличия элементов class или event:

Чтобы вести журнал событий определенного класса, используйте элемент class в фильтре, где поле name обозначает имя класса для ведения журнала:

{
  "filter": {
    "class": { "name": "connection" }
  }
}

Значение name может быть connection, general или table_access для ведения журнала событий подключения, общих или доступа к таблицам соответственно.

Предшествующий фильтр включает ведение журнала событий в классе connection. Он эквивалентен следующему фильтру с явными элементами log:

{
  "filter": {
    "log": false,
    "class": { "log": true,
               "name": "connection" }
  }
}

Для включения ведения журнала нескольких классов определите значение class как элемент массива JSON, который называет классы:

{
  "filter": {
    "class": [
      { "name": "connection" },
      { "name": "general" },
      { "name": "table_access" }
    ]
  }
}

{
  "filter": {
    "class": [
      { "name": [ "connection", "general", "table_access" ] }
    ]
  }
}

Для выбора конкретных подклассов событий используйте элемент event, содержащий элемент name, который указывает имена подклассов. По умолчанию события, выбранные элементом event, регистрируются. Например, этот фильтр позволяет регистрировать события для указанных подклассов:

{
  "filter": {
    "class": [
      {
        "name": "connection",
        "event": [
          { "name": "connect" },
          { "name": "disconnect" }
        ]
      },
      { "name": "general" },
      {
        "name": "table_access",
        "event": [
          { "name": "insert" },
          { "name": "delete" },
          { "name": "update" }
        ]
      }
    ]
  }
}

Элемент event также может содержать явные элементы log, чтобы указать, регистрировать ли соответствующие события. Этот элемент event выбирает несколько событий и явно указывает поведение регистрации для них:

"event": [
  { "name": "read", "log": false },
  { "name": "insert", "log": true },
  { "name": "delete", "log": true },
  { "name": "update", "log": true }
]

Элемент event также может указать, блокировать ли соответствующие события, если он содержит элемент abort. Подробности см. в разделе Блокирование выполнения конкретных событий.

Таблица 8.34, «Комбинации класса и подкласса событий» описывает разрешенные значения подклассов для каждого класса событий.

Таблица 8.35, «Характеристики регистрации и прерывания по каждой комбинации класса и подкласса события» описывает для каждого подкласса события, может ли он быть зарегистрирован или прерван.

Фильтр может быть определен в режиме включения или исключения:

Для выполнения регистрации в режиме включения отключите глобальную регистрацию и включите регистрацию для определенных классов. Этот фильтр регистрирует события connect и disconnect в классе connection, а также события в классе general:

{
  "filter": {
    "log": false,
    "class": [
      {
        "name": "connection",
        "event": [
          { "name": "connect", "log": true },
          { "name": "disconnect", "log": true }
        ]
      },
      { "name": "general", "log": true }
    ]
  }
}

Для выполнения регистрации в режиме исключения включите глобальную регистрацию и отключите регистрацию для определенных классов. Этот фильтр регистрирует все, кроме событий в классе general:

{
  "filter": {
    "log": true,
    "class":
      { "name": "general", "log": false }
  }
}

Этот фильтр регистрирует события change_user в классе connection, события message и события table_access, поскольку он не регистрирует все остальное:

{
  "filter": {
    "log": true,
    "class": [
      {
        "name": "connection",
        "event": [
          { "name": "connect", "log": false },
          { "name": "disconnect", "log": false }
        ]
      },
      { "name": "general", "log": false }
    ]
  }
}

Для включения логирования на основе определенных значений полей событий укажите элемент field внутри элемента log, который указывает имя поля и ожидаемое значение:

{
  "filter": {
    "class": {
    "name": "general",
      "event": {
        "name": "status",
        "log": {
          "field": { "name": "general_command.str", "value": "Query" }
        }
      }
    }
  }
}

Каждое событие содержит поля, специфичные для класса события, к которым можно получить доступ внутри фильтра для выполнения пользовательской фильтрации.

Событие в классе connection указывает, когда происходит связанная с подключением активность во время сессии, например, подключение или отключение пользователя от сервера. Таблица 8.36, «Поля событий подключения» указывает разрешенные поля для событий connection.

Значения "::xxx" — это символические псевдоконстанты, которые могут быть указаны вместо буквальных числовых значений. Они должны быть приведены в виде строк и чувствительны к регистру.

Событие в классе general указывает код состояния операции и ее детали. Таблица 8.37, «Поля событий общего назначения» указывает разрешенные поля для событий general.

general_command.str указывает имя команды: Query, Execute, Quit или Change user.

Событие general с полем general_command.str, установленным на значение Query или Execute, содержит general_sql_command.str, установленное на значение, указывающее тип SQL-команды: alter_db, alter_db_upgrade, admin_commands и т. д. Доступные значения general_sql_command.str можно увидеть в качестве последних компонентов инструментов Performance Schema, отображаемых этим запросом:

mysql> SELECT NAME FROM performance_schema.setup_instruments
       WHERE NAME LIKE 'statement/sql/%' ORDER BY NAME;
+---------------------------------------+
| NAME                                  |
+---------------------------------------+
| statement/sql/alter_db                |
| statement/sql/alter_db_upgrade        |
| statement/sql/alter_event             |
| statement/sql/alter_function          |
| statement/sql/alter_instance          |
| statement/sql/alter_procedure         |
| statement/sql/alter_server            |
...

Событие в классе table_access предоставляет информацию о конкретном типе доступа к таблице. Таблица 8.38, «Поля событий доступа к таблицам» указывает разрешенные поля для событий table_access.

В следующем списке показано, какие запросы генерируют события доступа к таблицам:

Элементы могут включать элемент, указывающий, следует ли предотвращать выполнение соответствующих событий. Это позволяет писать правила, которые блокируют выполнение определенных SQL-запросов.

Элемент abort должен находиться внутри элемента event. Например:

"event": {
  "name": qualifying event subclass names
  "abort": condition
}

Для подклассов событий, выбранных элементом name, действие abort принимает значения «истина» или «ложь» в зависимости от результата оценки condition. Если оценка равна «истина», событие блокируется. В противном случае событие продолжает выполняться.

Спецификация condition может быть простой, например, true или false, или более сложной, так что оценка зависит от характеристик события.

Этот фильтр блокирует INSERT, UPDATE и DELETE операторы:

{
  "filter": {
    "class": {
      "name": "table_access",
      "event": {
        "name": [ "insert", "update", "delete" ],
        "abort": true
      }
    }
  }
}

Этот более сложный фильтр блокирует те же операторы, но только для определенной таблицы (finances.bank_account):

{
  "filter": {
    "class": {
      "name": "table_access",
      "event": {
        "name": [ "insert", "update", "delete" ],
        "abort": {
          "and": [
            { "field": { "name": "table_database.str", "value": "finances" } },
            { "field": { "name": "table_name.str", "value": "bank_account" } }
          ]
        }
      }
    }
  }
}

Совпавшие и заблокированные операторы возвращают ошибку клиенту:

ERROR 1045 (28000): Statement was aborted by an audit log filter

Не все события могут быть заблокированы (см. Таблица 8.35, «Характеристики логирования и прерывания по комбинациям классов и подклассов событий»). Для событий, которые нельзя заблокировать, журнал аудита записывает предупреждение в журнал ошибок вместо блокирования.

При попытке определить фильтр, в котором элемент abort появляется не внутри элемента event, возникает ошибка.

Логические операторы (and, or, not) позволяют создавать сложные условия, что позволяет создавать более продвинутые конфигурации фильтрации. Следующий элемент log регистрирует только события general с полями general_command, имеющими определённое значение и длину:

{
  "filter": {
    "class": {
      "name": "general",
      "event": {
        "name": "status",
        "log": {
          "or": [
            {
              "and": [
                { "field": { "name": "general_command.str",    "value": "Query" } },
                { "field": { "name": "general_command.length", "value": 5 } }
              ]
            },
            {
              "and": [
                { "field": { "name": "general_command.str",    "value": "Execute" } },
                { "field": { "name": "general_command.length", "value": 7 } }
              ]
            }
          ]
        }
      }
    }
  }
}

Чтобы сослаться на предопределённую переменную в условии log, используйте элемент variable, который принимает элементы name и value и проверяет равенство имени переменной заданному значению:

"variable": {
  "name": "variable_name",
  "value": comparison_value
}

Это верно, если variable_name имеет значение comparison_value, и ложно в противном случае.

Пример:

{
  "filter": {
    "class": {
      "name": "general",
      "event": {
        "name": "status",
        "log": {
          "variable": {
            "name": "audit_log_connection_policy_value",
            "value": "::none"
          }
        }
      }
    }
  }
}

Каждая предопределённая переменная соответствует системной переменной. Написав фильтр, проверяющий предопределённую переменную, вы можете изменить работу фильтра, установив соответствующую системную переменную, без необходимости переопределения фильтра. Например, написав фильтр, проверяющий значение предопределённой переменной audit_log_connection_policy_value, вы можете изменить работу фильтра, изменив значение системной переменной audit_log_connection_policy.

Системные переменные audit_log_xxx_policy используются для устаревшего режима аудита (см. Раздел 8.4.5.10, «Фильтрация журнала аудита в режиме обратной совместимости»). В режиме фильтрации журнала аудита на основе правил эти переменные остаются видимыми (например, используя SHOW VARIABLES), но изменения в них не оказывают никакого влияния, если вы не используете конструкции, которые ссылаются на них в своих фильтрах.

Следующий список описывает разрешённые предопределённые переменные для элементов variable:

Для ссылки на предопределённую функцию в условии log, используйте элемент function, который принимает элементы name и args для указания имени функции и её аргументов соответственно:

"function": {
  "name": "function_name",
  "args": arguments
}

Элемент name должен содержать только имя функции без скобок или списка аргументов.

Элемент args должен удовлетворять этим условиям:

Если количество аргументов неверное или типы аргументов не соответствуют требованиям функции, возникает ошибка.

Пример:

{
  "filter": {
    "class": {
      "name": "general",
      "event": {
        "name": "status",
        "log": {
          "function": {
            "name": "find_in_include_list",
            "args": [ { "string": [ { "field": "user.str" },
                                    { "string": "@"},
                                    { "field": "host.str" } ] } ]
          }
        }
      }
    }
  }
}

Предыдущий фильтр определяет, следует ли регистрировать события класса general status в зависимости от того, найден ли текущий пользователь в системной переменной audit_log_include_accounts. Этот пользователь конструируется с помощью полей в событии.

В следующем списке описаны разрешённые предопределённые функции для элементов function:

Определения фильтров аудита поддерживают замену определенных полей событий аудита, чтобы в зарегистрированных событиях содержалось значение замены, а не исходное значение. Эта возможность позволяет зарегистрированным записям аудита включать в себя дайджесты заявлений, а не буквальные заявления, что может быть полезно для развертываний MySQL, в которых заявления могут раскрывать конфиденциальные значения.

Замена полей в событиях аудита происходит следующим образом:

Как показывает Таблица 8.42 «Поля событий, подлежащие замене», в настоящее время единственными заменяемыми полями являются те, которые содержат текст заявления (что происходит в событиях классов general и table_access). Кроме того, единственная разрешенная функция для указания значения замены — query_digest. Это означает, что единственная разрешенная операция замены — это замена буквального текста заявления соответствующим дайджестом.

Поскольку замена полей происходит на ранней стадии аудита (во время фильтрации), выбор между записью буквального текста заявления или значения дайджеста применяется независимо от формата журнала, записанного позже (то есть, независимо от того, создает ли плагин журнала аудита выходные данные XML или JSON).

Замена полей может происходить на различных уровнях гранулярности событий:

В определении фильтра укажите замену полей, включив элемент print, имеющий следующий синтаксис:

"print": {
  "field": {
    "name": "field_name",
    "print": condition,
    "replace": replacement_value
  }
}

Внутри элемента print элемент field принимает эти три элемента, чтобы указать, как и происходит ли замена:

Например, это определение фильтра применяется ко всем событиям класса general, заменяя буквальный текст заявления его дайджестом:

{
  "filter": {
    "class": {
      "name": "general",
      "print": {
        "field": {
          "name": "general_query.str",
          "print": false,
          "replace": {
            "function": {
              "name": "query_digest"
            }
          }
        }
      }
    }
  }
}

Предыдущий фильтр использует элемент print для безусловной замены буквального текста заявления, содержащегося в general_query.str, его дайджестом:

"print": {
  "field": {
    "name": "general_query.str",
    "print": false,
    "replace": {
      "function": {
        "name": "query_digest"
      }
    }
  }
}

Элементы print могут быть записаны различными способами для реализации различных стратегий замены. Элемент replace, только что показанный, указывает текст замены, используя эту конструкцию function для возвращения строки, представляющей текущий дайджест заявления:

"function": {
  "name": "query_digest"
}

Функция query_digest также может быть использована другим способом, как компаратор, возвращающий булево значение, что позволяет использовать её в условии print. Для этого укажите аргумент, определяющий дайджест сравнения заявления:

"function": {
  "name": "query_digest",
  "args": "digest"
}

В этом случае query_digest возвращает true или false в зависимости от того, совпадает ли текущий дайджест заявления с дайджестом сравнения. Использование query_digest таким образом позволяет определениям фильтров обнаруживать заявления, которые соответствуют определенным дайджестам. Условие в следующей конструкции истинно только для заявлений, которые имеют дайджест, равный SELECT ?, тем самым обеспечивая замену только для заявлений, которые не соответствуют дайджесту:

"print": {
  "field": {
    "name": "general_query.str",
    "print": {
      "function": {
        "name": "query_digest",
        "args": "SELECT ?"
      }
    },
    "replace": {
      "function": {
        "name": "query_digest"
      }
    }
  }
}

Чтобы выполнить замену только для заявлений, которые соответствуют дайджесту, используйте not для инвертирования условия:

"print": {
  "field": {
    "name": "general_query.str",
    "print": {
      "not": {
        "function": {
          "name": "query_digest",
          "args": "SELECT ?"
        }
      }
    },
    "replace": {
      "function": {
        "name": "query_digest"
      }
    }
  }
}

Предположим, что журнал аудита должен содержать только дайджесты заявлений, а не буквальные заявления. Для достижения этого необходимо выполнить замену для всех событий, которые содержат текст заявления, то есть, для событий в классах general и table_access. Более раннее определение фильтра показало, как безусловно заменить текст заявления для событий general. Чтобы сделать то же самое для событий table_access, используйте фильтр, аналогичный, но меняющий класс с general на table_access, а имя поля с general_query.str на query.str:

{
  "filter": {
    "class": {
      "name": "table_access",
      "print": {
        "field": {
          "name": "query.str",
          "print": false,
          "replace": {
            "function": {
              "name": "query_digest"
            }
          }
        }
      }
    }
  }
}

Комбинирование фильтров general и table_access приводит к единому фильтру, который выполняет замену для всех событий, содержащих текст заявления:

{
  "filter": {
    "class": [
      {
        "name": "general",
        "print": {
          "field": {
            "name": "general_query.str",
            "print": false,
            "replace": {
              "function": {
                "name": "query_digest"
              }
            }
          }
        }
      },
      {
        "name": "table_access",
        "print": {
          "field": {
            "name": "query.str",
            "print": false,
            "replace": {
              "function": {
                "name": "query_digest"
              }
            }
          }
        }
      }
    ]
  }
}

Чтобы выполнить замену только для некоторых событий внутри класса, добавьте элементы в фильтр, которые более конкретно указывают, когда происходит замена. Следующий фильтр применяется к событиям класса table_access, но выполняет замену только для событий insert и update (оставляя события read и delete без изменений):

{
  "filter": {
    "class": {
      "name": "table_access",
      "event": {
        "name": [
          "insert",
          "update"
        ],
        "print": {
          "field": {
            "name": "query.str",
            "print": false,
            "replace": {
              "function": {
                "name": "query_digest"
              }
            }
          }
        }
      }
    }
  }
}

Этот фильтр выполняет замену для событий класса general, соответствующих перечисленным заявлениям управления учетными записями (эффект заключается в скрытии значений учетных данных и данных в заявлениях):

{
  "filter": {
    "class": {
      "name": "general",
      "event": {
        "name": "status",
        "print": {
          "field": {
            "name": "general_query.str",
            "print": false,
            "replace": {
              "function": {
                "name": "query_digest"
              }
            }
          }
        },
        "log": {
          "or": [
            {
              "field": {
                "name": "general_sql_command.str",
                "value": "alter_user"
              }
            },
            {
              "field": {
                "name": "general_sql_command.str",
                "value": "alter_user_default_role"
              }
            },
            {
              "field": {
                "name": "general_sql_command.str",
                "value": "create_role"
              }
            },
            {
              "field": {
                "name": "general_sql_command.str",
                "value": "create_user"
              }
            }
          ]
        }
      }
    }
  }
}

Сведения о возможных значениях general_sql_command.str см. в разделе «Тестирование значений полей событий».

В некоторых случаях определение фильтра можно динамически изменить. Для этого определите конфигурацию filter в существующей filter. Например:

{
  "filter": {
    "id": "main",
    "class": {
      "name": "table_access",
      "event": {
        "name": [ "update", "delete" ],
        "log": false,
        "filter": {
          "class": {
            "name": "general",
            "event" : { "name": "status",
                        "filter": { "ref": "main" } }
          },
          "activate": {
            "or": [
              { "field": { "name": "table_name.str", "value": "temp_1" } },
              { "field": { "name": "table_name.str", "value": "temp_2" } }
            ]
          }
        }
      }
    }
  }
}

Новый фильтр активируется, когда элемент activate в подфильтре принимает значение true. Использование activate в верхнем уровне filter запрещено.

Новый фильтр можно заменить исходным, используя элемент ref внутри подфильтра для ссылки на исходный фильтр id.

Действие показанного фильтра таково:

Фильтр полезен для записи заявлений, обновляющих или удаляющих что-либо из таблиц temp_1 или temp_2, например, такого:

UPDATE temp_1, temp_3 SET temp_1.a=21, temp_3.a=23;

Заявление генерирует несколько событий table_access, но в файле журнала аудита содержатся только записи general / status.