audit_log_encryption_password_get([keyring_id])

Эта функция извлекает пароль шифрования журнала аудита из хранилища ключей MySQL, которое должно быть включено, иначе произойдёт ошибка. Можно использовать любой компонент или плагин хранилища ключей; инструкции см. в разделе 8.4.4, «Хранилище ключей MySQL».

Без аргументов функция извлекает текущий пароль шифрования в виде двоичной строки. Можно указать аргумент, чтобы получить определённый пароль шифрования журнала аудита. Аргумент должен быть идентификатором хранилища ключей текущего или архивированного пароля.

Дополнительную информацию о шифровании журнала аудита см. в разделе «Шифрование файлов журнала аудита».

Аргументы:

keyring_id: Этот необязательный аргумент указывает идентификатор хранилища ключей пароля для извлечения. Максимальная допустимая длина составляет 766 байт. Если аргумент опущен, функция извлекает текущий пароль.

Возвращаемое значение:

Строка пароля при успехе (до 766 байт) или NULL и сообщение об ошибке при неудаче.

Пример:

Извлечение текущего пароля:

mysql> SELECT audit_log_encryption_password_get();
+-------------------------------------+
| audit_log_encryption_password_get() |
+-------------------------------------+
| secret                              |
+-------------------------------------+

Чтобы извлечь пароль по идентификатору, вы можете определить существующие идентификаторы хранилища ключей журнала аудита, запросив таблицу Performance Schema keyring_keys:

mysql> SELECT KEY_ID FROM performance_schema.keyring_keys
       WHERE KEY_ID LIKE 'audit_log%'
       ORDER BY KEY_ID;
+-----------------------------+
| KEY_ID                      |
+-----------------------------+
| audit_log-20190415T152248-1 |
| audit_log-20190415T153507-1 |
| audit_log-20190416T125122-1 |
| audit_log-20190416T141608-1 |
+-----------------------------+
mysql> SELECT audit_log_encryption_password_get('audit_log-20190416T125122-1');
+------------------------------------------------------------------+
| audit_log_encryption_password_get('audit_log-20190416T125122-1') |
+------------------------------------------------------------------+
| segreto                                                          |
+------------------------------------------------------------------+

audit_log_encryption_password_set(password)

Устанавливает текущий пароль шифрования журнала аудита в качестве аргумента и сохраняет пароль в хранилище ключей MySQL. Пароль сохраняется как utf8mb4 строка. Раньше пароль хранился в двоичном формате.

При включённом шифровании эта функция выполняет операцию вращения файла журнала, переименовывая текущий файл журнала и создавая новый зашифрованный файл с указанным паролем. Хранилище ключей должно быть включено, иначе произойдёт ошибка. Можно использовать любой компонент или плагин хранилища ключей; инструкции см. в разделе 8.4.4, «Хранилище ключей MySQL».

Дополнительную информацию о шифровании журнала аудита см. в разделе «Шифрование файлов журнала аудита».

Аргументы:

password: Строка пароля. Максимальная допустимая длина составляет 766 байт.

Возвращаемое значение:

1 при успехе, 0 при неудаче.

Пример:

mysql> SELECT audit_log_encryption_password_set(password);
+---------------------------------------------+
| audit_log_encryption_password_set(password) |
+---------------------------------------------+
| 1                                           |
+---------------------------------------------+

audit_log_filter_flush()

Вызов любой из других функций фильтрации немедленно влияет на фильтрацию журнала аудита и обновляет таблицы журнала аудита. Если вы изменяете содержимое этих таблиц напрямую, используя операторы, такие как INSERT, UPDATE и DELETE, изменения не влияют на фильтрацию немедленно. Чтобы зафиксировать изменения и сделать их действующими, вызовите audit_log_filter_flush().

В случае неудачи функции возвращается сообщение об ошибке, и журнал аудита отключается до следующего успешного вызова audit_log_filter_flush().

Аргументы:

Нет.

Возвращаемое значение:

Строка, указывающая, удалось ли выполнить операцию. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_flush();
+--------------------------+
| audit_log_filter_flush() |
+--------------------------+
| OK                       |
+--------------------------+

audit_log_filter_remove_filter(filter_name)

Удаляет фильтр из текущего набора фильтров по заданному имени. Отсутствие фильтра не является ошибкой.

Если удалённый фильтр назначен каким-либо учётным записям пользователей, эти пользователи перестают быть отфильтрованными (они удаляются из таблицы audit_log_user). Прекращение фильтрации включает все текущие сессии для этих пользователей: они отсоединяются от фильтра и больше не регистрируются.

Аргументы:

Возвращаемое значение:

Строка, указывающая, удалось ли выполнить операцию. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_remove_filter('SomeFilter');
+----------------------------------------------+
| audit_log_filter_remove_filter('SomeFilter') |
+----------------------------------------------+
| OK                                           |
+----------------------------------------------+

audit_log_filter_remove_user(user_name)

Удаляет назначение пользователя фильтру по имени учётной записи пользователя. Отсутствие назначенного фильтра для пользователя не является ошибкой. Фильтрация текущих сессий пользователя не изменяется. Новые подключения пользователя фильтруются по умолчанию, если таковой задан, иначе не регистрируются.

Если имя равно %, функция удаляет фильтр по умолчанию для любой учётной записи пользователя, которой не назначен явный фильтр.

Аргументы:

Возвращаемое значение:

Строка, указывающая, удалось ли выполнить операцию. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_remove_user('user1@localhost');
+-------------------------------------------------+
| audit_log_filter_remove_user('user1@localhost') |
+-------------------------------------------------+
| OK                                              |
+-------------------------------------------------+

audit_log_filter_set_filter(filter_name, definition)

Добавляет фильтр в текущий набор фильтров по имени фильтра и определению. Если фильтр уже существует и используется текущими сессиями, эти сессии отсоединяются от фильтра и больше не регистрируются. Это происходит, потому что у нового определения фильтра новый идентификатор, отличающийся от предыдущего.

Аргументы:

Возвращаемое значение:

Строка, указывающая, удалось ли выполнить операцию. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SET @f = '{ "filter": { "log": false } }';
mysql> SELECT audit_log_filter_set_filter('SomeFilter', @f);
+-----------------------------------------------+
| audit_log_filter_set_filter('SomeFilter', @f) |
+-----------------------------------------------+
| OK                                            |
+-----------------------------------------------+

audit_log_filter_set_user(user_name, filter_name)

Назначает пользователю фильтр по имени учётной записи пользователя и имени фильтра. Пользователю может быть назначен только один фильтр, поэтому если пользователю уже назначен фильтр, назначение заменяется. Фильтрация текущих сессий пользователя не изменяется. Новые подключения фильтруются с помощью нового фильтра.

В качестве специального случая, имя % представляет учётную запись по умолчанию. Этот фильтр применяется к подключениям от любых учётных записей пользователей, которым не назначен явный фильтр.

Аргументы:

Возвращаемое значение:

Строка, указывающая, удалось ли выполнить операцию. OK указывает успех. ERROR: message указывает неудачу.

Пример:

mysql> SELECT audit_log_filter_set_user('user1@localhost', 'SomeFilter');
+------------------------------------------------------------+
| audit_log_filter_set_user('user1@localhost', 'SomeFilter') |
+------------------------------------------------------------+
| OK                                                         |
+------------------------------------------------------------+

audit_log_read([arg])

Читает журнал аудита и возвращает результат в виде строки JSON. Если формат журнала аудита не JSON, возникает ошибка.

Без аргументов или с аргументом в виде хеша JSON, функция audit_log_read() считывает события из журнала аудита и возвращает строку JSON содержащую массив событий аудита. Элементы в аргументе хеша влияют на процесс чтения, как описано ниже. Каждый элемент в возвращаемом массиве — событие, представленное в виде хеша JSON, за исключением последнего элемента, который может быть значением JSON null, чтобы указать, что больше событий для чтения недоступно.

С аргументом, содержащим значение JSON null, функция audit_log_read() закрывает текущую последовательность чтения.

Дополнительные сведения о процессе чтения журнала аудита см. в разделе 8.4.5.6 «Чтение файлов журнала аудита».

Аргументы:

Для получения отметки для последнего записанного события, вызовите audit_log_read_bookmark().

arg: Аргумент необязателен. Если он опущен, функция считывает события с текущей позиции. Если он присутствует, он может быть значением JSON null для закрытия последовательности чтения или хешем JSON. Элементы внутри хеша аргумента являются необязательными и управляют аспектами операции чтения, такими как позиция начала чтения или количество считываемых событий. Следующие элементы важны (другие игнорируются):

Для задания начальной позиции для audit_log_read(), передайте хеш-аргумент, содержащий либо элемент start, либо отметку, состоящую из элементов timestamp и id. Если хеш-аргумент содержит и элемент start, и отметку, произойдёт ошибка.

Если хеш-аргумент не задаёт начальную позицию, чтение продолжается с текущей позиции.

Если значение метки времени не содержит части времени, предполагается часть времени 00:00:00.

Значение результата:

При успешном вызове возвращается строка JSON содержащая массив событий аудита, или значение JSON null, если оно было передано в качестве аргумента для закрытия последовательности чтения. В случае неудачи возвращается NULL и происходит ошибка.

Пример:

mysql> SELECT audit_log_read(audit_log_read_bookmark());
+-----------------------------------------------------------------------+
| audit_log_read(audit_log_read_bookmark())                             |
+-----------------------------------------------------------------------+
| [ {"timestamp":"2020-05-18 22:41:24","id":0,"class":"connection", ... |
+-----------------------------------------------------------------------+
mysql> SELECT audit_log_read('null');
+------------------------+
| audit_log_read('null') |
+------------------------+
| null                   |
+------------------------+

Примечания:

До MySQL 9.2 значения строк результата могли быть двоичными строками JSON. Сведения о преобразовании таких значений в недвоичные строки см. в разделе 8.4.5.6 «Чтение файлов журнала аудита».

audit_log_read_bookmark()

Возвращает строку JSON, представляющую отметку для последнего записанного события журнала аудита. Если формат журнала аудита не JSON, возникает ошибка.

Отметка — это хеш JSON с элементами timestamp и id, уникально идентифицирующими позицию события в журнале аудита. Она подходит для передачи функции audit_log_read() для указания позиции начала чтения.

Дополнительные сведения о процессе чтения журнала аудита см. в разделе 8.4.5.6 «Чтение файлов журнала аудита».

Аргументы:

Нет.

Возвращаемое значение:

Строка JSON содержащая отметку в случае успеха или NULL и ошибка в случае неудачи.

Пример:

mysql> SELECT audit_log_read_bookmark();
+-------------------------------------------------+
| audit_log_read_bookmark()                       |
+-------------------------------------------------+
| { "timestamp": "2019-10-03 21:03:44", "id": 0 } |
+-------------------------------------------------+

Примечания:

До MySQL 9.2 значения строк результата могли быть двоичными строками JSON. Сведения о преобразовании таких значений в недвоичные строки см. в разделе 8.4.5.6 «Чтение файлов журнала аудита».

audit_log_rotate()

Аргументы:

Нет.

Возвращаемое значение:

Переименованное имя файла.

Пример:

mysql> SELECT audit_log_rotate();

Использование audit_log_rotate() требует привилегии AUDIT_ADMIN.

audit_log_buffer_size

Когда плагин журнала аудита асинхронно записывает события в журнал, он использует буфер для хранения содержимого событий перед их записью. Эта переменная управляет размером этого буфера в байтах. Сервер корректирует значение до кратного 4096. Плагин использует один буфер, который он выделяет при инициализации и удаляет при завершении работы. Плагин выделяет этот буфер только если ведение журнала является асинхронным.

audit_log_compression

Тип сжатия для файла журнала аудита. Допустимые значения: NONE (без сжатия; значение по умолчанию) и GZIP (сжатие GNU Zip). Для получения дополнительной информации см. Сжатие файлов журнала аудита.

audit_log_connection_policy

Политика, контролирующая способ записи плагином журнала аудита событий подключения в его файл журнала. В следующей таблице показаны допустимые значения.

audit_log_current_session

Включено ли ведение журнала аудита для текущего сеанса. Значение сеанса этой переменной доступно только для чтения. Оно устанавливается при начале сеанса на основе значений системных переменных audit_log_include_accounts и audit_log_exclude_accounts. Плагин журнала аудита использует значение сеанса для определения того, следует ли аудировать события для сеанса. (Существует глобальное значение, но плагин его не использует.)

audit_log_database

Указывает, какую базу данных плагин audit_log использует для поиска своих таблиц. Эта переменная доступна только для чтения. Для получения дополнительной информации см. Раздел 8.4.5.2, «Установка или удаление MySQL Enterprise Audit»).

audit_log_disable

Позволяет отключить ведение журнала аудита для всех подключающихся и подключенных сеансов. Помимо привилегии SYSTEM_VARIABLES_ADMIN, для отключения ведения журнала аудита требуется привилегия AUDIT_ADMIN. См. Раздел 8.4.5.9, «Отключение ведения журнала аудита».

audit_log_encryption

Тип шифрования для файла журнала аудита. Допустимые значения: NONE (без шифрования; значение по умолчанию) и AES (шифрование с помощью шифра AES-256-CBC). Для получения дополнительной информации см. Шифрование файлов журнала аудита.

audit_log_exclude_accounts

Учетные записи, для которых события не должны регистрироваться. Значение должно быть NULL или строкой, содержащей список из одного или нескольких имен учетных записей, разделенных запятыми. Для получения дополнительной информации см. Раздел 8.4.5.7, «Audit Log Filtering».

Изменения в audit_log_exclude_accounts влияют только на соединения, созданные после внесения изменений, а не на существующие соединения.

audit_log_file

Базовое имя и суффикс файла, в который плагин журнала аудита записывает события. Значение по умолчанию — audit.log, независимо от формата регистрации. Чтобы суффикс имени соответствовал формату, задайте имя явно, выбрав другой суффикс (например, audit.xml для формата XML, audit.json для формата JSON).

Если значение audit_log_file является относительным именем пути, плагин интерпретирует его относительно каталога данных. Если значение является полным именем пути, плагин использует значение как есть. Полное имя пути может быть полезно, если желательно разместить файлы аудита в отдельной файловой системе или каталоге. В целях безопасности записывайте файл журнала аудита в каталог, доступный только для сервера MySQL и для пользователей, имеющих законное основание для просмотра журнала.

Для получения подробной информации о том, как плагин журнала аудита интерпретирует значение audit_log_file и правила переименования файлов, которые происходят при инициализации и завершении работы плагина, см. Соглашения об именовании файлов журнала аудита.

Плагин журнала аудита использует каталог, содержащий файл журнала аудита (определяется по значению audit_log_file), как место для поиска читаемых файлов журнала аудита. Из этих файлов журнала и текущего файла плагин создает список тех из них, которые подлежат использованию с функциями закладок и чтения журнала аудита. См. Раздел 8.4.5.6, «Reading Audit Log Files».

audit_log_filter_id

Сессионное значение этой переменной указывает на внутренне поддерживаемый идентификатор фильтра аудита для текущей сессии. Значение 0 означает, что для сессии не назначен фильтр.

audit_log_flush

Если audit_log_rotate_on_size равно 0, автоматическое вращение файла журнала аудита отключено, и вращение происходит только при ручном выполнении. В этом случае включение audit_log_flush, установив его в 1 или ON, заставляет плагин журнала аудита закрыть и снова открыть свой файл журнала, чтобы очистить его. (Значение переменной остается OFF, поэтому вам не нужно явно отключать ее, прежде чем снова включать ее для выполнения другой очистки.) Для получения дополнительной информации см. Раздел 8.4.5.5, «Configuring Audit Logging Characteristics».

audit_log_flush_interval_seconds

Эта системная переменная зависит от компонента scheduler, который должен быть установлен и включен (см. Раздел 7.5.5, «Scheduler Component»). Чтобы проверить состояние компонента:

SHOW VARIABLES LIKE 'component_scheduler%';
+-----------------------------+-------+
| Variable_name               | Value |
+-----------------------------+-------|
| component_scheduler.enabled | On    |
+-----------------------------+-------+

Когда audit_log_flush_interval_seconds имеет значение ноль (по умолчанию), автоматическое обновление привилегий не происходит, даже если компонент scheduler включен (ON).

Значения от 0 до 60 (1 до 59) не распознаются; вместо этого эти значения автоматически корректируются до 60, и сервер выдает предупреждение. Значения, большие 60, определяют количество секунд, которые компонент scheduler ожидает с момента запуска или с момента начала предыдущего выполнения, прежде чем он попытается запланировать следующее выполнение.

Чтобы сохранить эту глобальную системную переменную в файл mysqld-auto.cnf, не устанавливая значение глобальной переменной во время выполнения, поставьте перед именем переменной ключевое слово PERSIST_ONLY или квалификатор @@PERSIST_ONLY..

audit_log_format

Формат файла журнала аудита. Допустимые значения: OLD (XML старого стиля), NEW (XML нового стиля; значение по умолчанию) и JSON. Подробная информация о каждом формате приведена в Разделе 8.4.5.4, «Audit Log File Formats».

audit_log_format_unix_timestamp

Эта переменная применяется только для вывода аудиторного журнала в формате JSON. Если это значение истинно, включение этой переменной приводит к добавлению в каждый записной файл журнала поля time. Значение поля — целое число, представляющее значение временной метки UNIX, указывающее дату и время создания аудиторного события.

Изменение значения этой переменной во время выполнения приводит к вращению файлов журнала, поэтому для данного файла журнала в формате JSON все записи в файле либо включают, либо не включают поле time.

Для изменения значения audit_log_format_unix_timestamp во время выполнения требуется привилегия AUDIT_ADMIN в дополнение к привилегии SYSTEM_VARIABLES_ADMIN (или устаревшей привилегии SUPER), обычно необходимой для изменения значения глобальной системной переменной во время выполнения.

audit_log_include_accounts

Учетные записи, для которых должны регистрироваться события. Значение должно быть NULL или строкой, содержащей список одной или нескольких имен учетных записей, разделенных запятыми. Дополнительную информацию см. в Раздел 8.4.5.7, “Фильтрация аудиторного журнала”.

Изменения в audit_log_include_accounts влияют только на подключения, созданные после внесения изменения, а не на существующие подключения.

audit_log_max_size

audit_log_max_size относится к обрезке файлов журнала аудита, которая поддерживается только для файлов журналов в формате JSON. Она контролирует обрезку на основе общего размера файла журнала:

Если вы установили audit_log_max_size на значение, которое не является кратным 4096, оно усекается до ближайшего кратного. В частности, установка значения меньше 4096 устанавливает его в 0, и обрезка на основе размера не происходит.

Если и audit_log_max_size, и audit_log_rotate_on_size больше 0, audit_log_max_size должно быть больше, чем в 7 раз значение audit_log_rotate_on_size. В противном случае в журнале ошибок сервера записывается сообщение об ошибке, так как в этом случае «гранулярность» обрезки на основе размера может оказаться недостаточной для предотвращения удаления всех или большинства файлов ротируемых логов каждый раз, когда это происходит.

audit_log_password_history_keep_days

Плагин журнала аудита реализует шифрование файлов журналов с использованием паролей шифрования, хранящихся в хранилище ключей MySQL (см. Шифрование файлов журнала аудита). Плагин также реализует историю паролей, которая включает в себя архивирование и истечение срока действия паролей (удаление).

Когда плагин журнала аудита создает новый пароль шифрования, он архивирует предыдущий пароль, если он существует, для последующего использования. Переменная audit_log_password_history_keep_days управляет автоматическим удалением истекших архивированных паролей. Ее значение указывает количество дней, по истечении которых архивированные пароли шифрования журнала аудита удаляются. Значение по умолчанию 0 отключает истечение срока действия пароля: срок хранения пароля — навсегда.

Новые пароли шифрования журнала аудита создаются в следующих случаях:

В каждом случае плагин сохраняет новый пароль в хранилище ключей и использует его для шифрования новых файлов журнала.

Удаление истекших паролей шифрования журнала аудита происходит в следующих случаях:

При удалении паролей текущее значение audit_log_password_history_keep_days определяет, какие пароли удалить:

Если вы обычно отключаете истечение срока действия паролей (то есть audit_log_password_history_keep_days имеет значение 0), можно выполнить операцию очистки по требованию, временно присвоив переменной значение, большее нуля. Например, чтобы истекли пароли, которым более 365 дней, сделайте следующее:

SET GLOBAL audit_log_password_history_keep_days = 365;
SET GLOBAL audit_log_password_history_keep_days = 0;

Для установки текущего значения audit_log_password_history_keep_days требуется привилегия AUDIT_ADMIN, в дополнение к привилегии SYSTEM_VARIABLES_ADMIN (или устаревшей привилегии SUPER), обычно требуемой для установки глобального значения системной переменной.

audit_log_policy

Политика, определяющая, как плагин журнала аудита записывает события в свой файл журнала. В следующей таблице показаны разрешенные значения.

audit_log_policy может быть установлена только при запуске сервера. В режиме выполнения это — только для чтения. Две другие системные переменные, audit_log_connection_policy и audit_log_statement_policy, обеспечивают более тонкую настройку политики ведения журнала и могут быть установлены как при запуске, так и в режиме выполнения. Если вы используете audit_log_policy при запуске вместо двух других переменных, сервер использует ее значение для установки этих переменных. Дополнительную информацию о переменных политики и их взаимодействии см. в Разделе 8.4.5.5, «Настройка характеристик ведения журнала аудита».

audit_log_prune_seconds

audit_log_prune_seconds относится к обрезке файла журнала аудита, которая поддерживается только для файлов журналов в формате JSON. Она управляет обрезкой на основе возраста файла журнала:

audit_log_read_buffer_size

Размер буфера для чтения из файла журнала аудита в байтах. Функция audit_log_read() считывает не более этого количества байтов. Чтение файла журнала поддерживается только для формата журнала JSON. Дополнительную информацию см. в разделе 8.4.5.6, «Чтение файлов журналов аудита».

Эта переменная имеет значение по умолчанию 32 КБ и может быть установлена во время выполнения. Каждый клиент должен соответствующим образом установить значение сеанса переменной audit_log_read_buffer_size для использования функции audit_log_read().

audit_log_rotate_on_size

Если audit_log_rotate_on_size равно 0, модуль аудита журнала не выполняет автоматическую ротацию файла журнала на основе размера. Если требуется выполнить ротацию, вы должны выполнить её вручную; см. Вручную ротация файлов журналов аудита.

Если audit_log_rotate_on_size больше 0, происходит автоматическая ротация файла журнала на основе размера. Всякий раз, когда запись в файл журнала приводит к превышению значения audit_log_rotate_on_size, модуль аудита журнала переименовывает текущий файл журнала и открывает новый текущий файл журнала с использованием исходного имени.

Если вы установите audit_log_rotate_on_size на значение, которое не кратно 4096, оно усекается до ближайшего кратного. В частности, установка значения меньше 4096 устанавливает его в 0, и ротация не происходит, за исключением ручного режима.

audit_log_statement_policy

Политика, определяющая, как модуль аудита журнала записывает события операторов в файл журнала. В следующей таблице показаны разрешенные значения.

audit_log_strategy

Метод регистрации, используемый модулем аудита журнала. Разрешены следующие стратегии: