云数据库 TiDB 版提供审计日志功能，可记录数据面 SQL 操作，帮助您追踪数据库行为，满足安全追溯与合规审计需求。 ## 前提条件已[创建集群](https://www.volcengine.com/docs/88130/2534887?lang=zh)，且集群状态为 **Active**。 ## 注意事项 * 开启审计日志后，请[配置审计过滤规则](https://docs.volcengine.com/docs/NewSQL_for_TiDB/manage-audit-log?lang=zh#KpOVL9qt)，若未配置任何过滤规则，SQL 操作均不审计。 * 在数据库执行被审计的 SQL 操作后，需达到日志轮转间隔 60 分钟或日志文件 100 MiB 任一阈值，对应的审计日志才可在控制台查看。系统达到阈值后会归档当前日志文件并新建日志文件，仅轮转完成后的日志支持查看。 * 审计日志文件归档采用 UTC 时区日期，查询审计日志文件必须使用 UTC 日期作为筛选依据。若直接使用本地时区日期筛选，将无法检索到对应审计日志。 * 下载的审计日志文件会默认对 SQL 字面量做脱敏处理，SQL 语句中的参数值会显示为 `?` 或直接省略。 * 您无法在云数据库 TiDB 版中指定数据库审计日志的存储位置，也无法手动删除审计日志。 ## 配置审计日志 ### 启用审计日志数据库审计日志功能默认处于禁用状态。要启用该功能，请按照以下步骤操作： 1. 登录[云数据库 TiDB 版](https://console.volcengine.com/tidb)控制台。 2. 在顶部菜单栏，选择集群所属的项目和地域。 3. 单击目标**集群**名称。 4. 在左侧导航栏中，单击**设置 \>** **DB 审计日志记录**。 5. 在**数据库审计日志记录**区域右侧，单击**启用**。 6. 在弹出框中单击**启用**，以确认开启数据库审计日志功能。

说明

开启审计日志后，请配置审计过滤规则，若未配置任何过滤规则，SQL 操作均不审计。

### 查看和下载审计日志查看和下载数据库审计日志，请按照以下步骤操作：

注意

如果您的 TiDB 集群是第一次启用数据库审计日志，数据库审计日志内容为空。

执行被审计的 SQL 操作后，需达到日志轮转间隔 60 分钟或日志文件 100 MiB 任一阈值，对应的审计日志才可在控制台查看。

如果审计日志功能被禁用超过 90 天，您将无法看到任何日志。

1. 登录[云数据库 TiDB 版](https://console.volcengine.com/tidb)控制台。 2. 在顶部菜单栏，选择集群所属的项目和地域。 3. 单击目标**集群**名称。 4. 在左侧导航栏中，单击**设置 \>** **DB 审计日志记录**。 5. 在**审计日志访问**区域，可查看已生成的审计日志文件列表；SQL 记录详情需下载审计日志文件后查看。 6. 单击目标日志文件行 **··· \>** **下载**，即可完成下载操作。

说明

下载的审计日志文件中，SQL 字面量默认开启脱敏，语句内参数值将显示为 ? 或被省略。示例 SQL 语句如下：

INSERT INTO `test`.`users` (`id`, `name`, `password`) VALUES (1, 'Alice', '123456');

脱敏后如下所示：

INSERT INTO `test`.`users` (`id`, `name`, `password`) VALUES ( ... );

### 禁用审计日志要禁用数据库审计日志，请按照以下步骤操作： 1. 登录[云数据库 TiDB 版](https://console.volcengine.com/tidb)控制台。 2. 在顶部菜单栏，选择集群所属的项目和地域。 3. 单击目标**集群**名称。 4. 在左侧导航栏中，单击**设置 \>** **DB 审计日志记录**。 5. 在**数据库审计日志记录**区域右侧，单击**禁用**。 6. 在弹出框中单击**禁用**，以确认禁用审计日志功能。 ## 配置审计过滤规则 ### 添加审计过滤规则过滤规则用于确定需要审计的事件，执行以下步骤添加审计过滤规则： 1. 登录[云数据库 TiDB 版](https://console.volcengine.com/tidb)控制台。 2. 在顶部菜单栏，选择集群所属的项目和地域。 3. 单击目标**集群**名称。 4. 在左侧导航栏中，单击**设置 \>** **DB 审计日志记录**。 5. 在**审计过滤器**区域，单击**添加审计过滤规则**。配置以下参数： |参数 |说明 | |---|---| |**筛选器名称** |您可以自行命名筛选器名称。 | |**SQL 用户** |请输入 SQL 用户。

说明

SQL 用户格式为 <用户名>@<主机>，其中用户名组成为 <用户名前缀>.。如需查看集群用户名及主机参数，请参见连接集群。

用户名、主机名支持通配符：% 匹配任意值，_ 匹配单个字符。@ 与 <主机> 为可选项。举例如下：

ZhpV9wHcNzXwz**.root@gateway01‑privatelink.cn‑beijing.tidb.ivolces.com：完整用户名 + 指定主机，仅匹配从该主机使用此用户访问。

ZhpV9wHcNzXwz**.%：用户名前缀固定，使用通配符匹配该前缀下所有不同 user 的账号（如 ZhpV9wHcNzXwz**.root、ZhpV9wHcNzXwz**.read）。

ZhpV9wHcNzXwz**.root：省略 @ 和主机，等价于 ZhpV9wHcNzXwz**.root@%，匹配该用户从任意主机访问。

| |**筛选事件** |单击下拉列表筛选事件，勾选 / 取消勾选以设定事件范围，仅选中范围内的操作将被审计记录。数据库审计日志支持审计的全部事件类型，请参见下文[审计日志事件类型](https://docs.volcengine.com/docs/NewSQL_for_TiDB/manage-audit-log?lang=zh#Y4MQVW51)。 | 6. 单击**应用**。 7. 单击**确认**。 ### 审计日志事件类型以下是数据库审计日志支持审计的全部事件类型： |**事件类型** |**描述** |**父类** | |---|---|---| |CONNECTION |记录所有与连接相关的操作，如握手、连接、断开连接、重置连接、切换用户。 |\- | |CONNECT |记录所有连接握手操作。 |CONNECTION | |DISCONNECT |记录所有断开连接操作。 |CONNECTION | |CHANGE_USER |记录所有切换用户操作。 |CONNECTION | |QUERY |记录所有 SQL 语句操作，包括所有查询和数据修改的错误。 |\- | |TRANSACTION |记录所有与事务相关的操作，如 BEGIN、COMMIT 和 ROLLBACK。 |QUERY | |EXECUTE |记录所有 EXECUTE 语句的操作。 |QUERY | |QUERY_DML |记录所有 DML 语句操作，包括 INSERT、REPLACE、UPDATE、DELETE 和 LOAD DATA。 |QUERY | |INSERT |记录所有 INSERT 语句操作。 |QUERY_DML | |REPLACE |记录所有 REPLACE 语句操作。 |QUERY_DML | |UPDATE |记录所有 UPDATE 语句操作。 |QUERY_DML | |DELETE |记录所有 DELETE 语句操作。 |QUERY_DML | |LOAD DATA |记录所有 LOAD DATA 语句操作。 |QUERY_DML | |SELECT |记录所有 SELECT 语句操作。 |QUERY | |QUERY_DDL |记录所有 DDL 语句操作。 |QUERY | ### 编辑审计过滤规则 1. 登录[云数据库 TiDB 版](https://console.volcengine.com/tidb)控制台。 2. 在顶部菜单栏，选择集群所属的项目和地域。 3. 单击目标**集群**名称。 4. 在左侧导航栏中，单击**设置 \>** **DB 审计日志记录**。 5. 在目标**审计过滤规则**行，单击 **··· \> 编辑**。 6. 更新**筛选器名称**或**筛选事件**字段，然后单击**确定**。 ### 删除审计过滤规则 1. 登录[云数据库 TiDB 版](https://console.volcengine.com/tidb)控制台。 2. 在顶部菜单栏，选择集群所属的项目和地域。 3. 单击目标**集群**名称。 4. 在左侧导航栏中，单击**设置 \>** **DB 审计日志记录**。 5. 在目标**审计过滤规则**行，单击 **··· \> 删除**。 6. 单击**我已了解，删除它**，以确认删除操作。

说明

执行删除审计日志过滤规则后，该规则将被永久删除且无法恢复。

## 审计日志字段对于审计日志中的每条数据库事件记录，云数据库 TiDB 版提供以下字段： ### 通用信息所有类型的审计日志均包含以下信息： |**字段** |**描述** | |---|---| |ID |标识操作审计记录的唯一标识符。 | |TIME |审计记录的时间戳。 | |EVENT |审计记录的事件类。多个事件类型以逗号（,）分隔。 | |USER |审计记录的用户名。 | |ROLES |操作时用户的角色。 | |CONNECTION_ID |用户连接的标识符。 | |TABLES |与该审计记录相关的访问表。 | |STATUS_CODE |审计记录的状态码。1 表示成功，0 表示失败。 | |KEYSPACE_NAME |审计记录的 keyspace 名称。 | |SERVERLESS_TENANT_ID |TiDB 集群所属的账号 ID。 | |SERVERLESS_PROJECT_ID |TiDB 集群所属的项目 ID。 | |SERVERLESS_CLUSTER_ID |审计记录所属的 TiDB 集群 ID。 | |REASON |审计记录的错误信息。仅在操作发生错误时记录。 | ### SQL 语句信息当事件类为 QUERY 或其子类时，审计日志包含以下信息： |**字段** |**描述** | |---|---| |CURRENT_DB |当前数据库名称。 | |SQL_TEXT |执行的 SQL 语句。如果启用了审计日志脱敏，则记录脱敏后的 SQL 语句。 | |EXECUTE_PARAMS |EXECUTE 语句的参数。仅当事件类包含 EXECUTE 且未启用脱敏时记录。 | |AFFECTED_ROWS |SQL 语句影响的行数。仅当事件类包含 QUERY_DML 时记录。 | ### 连接信息当事件类为 CONNECTION 或其子类时，审计日志包含以下信息： |**字段** |**描述** | |---|---| |CURRENT_DB |当前数据库名称。当事件类包含 DISCONNECT 时不记录该信息。 | |CONNECTION_TYPE |连接类型，包括 Socket、UnixSocket 和 SSL/TLS。 | |PID |当前连接的进程 ID。 | |SERVER_VERSION |当前连接的 TiDB 服务器版本。 | |SSL_VERSION |当前使用的 SSL 版本。 | |HOST_IP |当前连接的 TiDB 服务器 IP 地址。 | |HOST_PORT |当前连接的 TiDB 服务器端口。 | |CLIENT_IP |当前客户端 IP 地址。 | |CLIENT_PORT |当前客户端端口。 |