数据库工作台
数据库工作台
文档指南
请输入
- 文档首页
数据库工作台veDB MySQL 用户指南运维管理观测诊断数据库审计管理
复制全文
下载 pdf数据库审计管理
文档反馈
问问助手本文介绍如何在数据库工作台 DBW 控制台管理审计日志，包括开启审计日志、查询审计日志和关闭审计日志。
背景信息
数据库工作台 DBW 提供了 V1 和 V2 两个版本的数据库审计功能，关于这两个版本的相关信息如下表所示。
- 费用：关于 V1 版本的相关费用如下所示：
- 采集费用：推广期内免费提供日志采集，推广期后将按日志量的采集收取相关费用。具体收费信息，请参见数据库工作台 DBW 的 计费规则 。
- 存储费用：推广期内每个实例有 5GiB 的免费存储空间，超出部分将收取相应费用。具体收费信息，请参见日志服务的计费规则。
- 功能：支持基础的审计指标和导出审计日志。
- 审计日志存储方式：审计数据由日志服务存储。开启审计时，会默认在日志服务中可用的日志项目内创建一个日志主题，用于存储本实例的审计日志，审计日志的名称格式为 rds-sql-audit-****。当不存在可用日志项目时会先创建一个日志项目。请勿删除审计功能在日志服务中涉及的日志项目和日志主题，否则将导致该功能不可用。
- 删除实例：当数据库实例被删除时，该实例的审计功能将被强制关闭。关闭该功能后审计日志最长保留时间将根据您设置的审计日志保留时长保留，该时间段内日志服务将持续收费，您也可以在日志服务内提前删除该日志。
- SQL 存储时长：推广期内支持免费查看近 30 天内的审计日志，如 V1 版本的数据库审计有其他需求可在日志主题内修改，详细操作，请参见修改日志主题配置。
- 下载审计日志：
- 单次最多支持导出 100 万条数据。
- 下载审计日志的任务默认保留 1 天，到期后任务将被自动删除。同时，获取的下载链接有效期为 5 分钟，请在获取链接后及时下载审计日志。
前提条件
- 已创建云数据库 veDB MySQL 版实例且实例状态处于运行中。详细操作，请参见创建实例。
- 如果目标实例已开启安全管控，那么您需为当前账号申请目标实例的运维只读或运维读写权限。详细信息，请参见开启云数据库 veDB MySQL 版实例安全管控和申请云数据库 veDB MySQL 版相关操作权限。
说明
- 已开启日志服务 TLS。详细操作，请参见日志服务。
- 已授权数据库工作台 DBW 可以访问火山引擎日志服务。详细操作，请参见权限管理。
- 已创建云数据库 veDBNDB MySQL 版实例且实例状态处于运行中。详细操作，请参见创建实例。
- 如果目标实例已开启安全管控，那么您需为当前账号申请目标实例的运维只读或运维读写权限。详细信息，请参见开启云数据库 veDB MySQL 版实例安全管控和申请云数据库 veDB MySQL 版相关操作权限。
注意事项
- 支持记录 SSL 连接下的审计日志。
- 由于 V2 版本的数据库审计信息均为全量 SQL 洞察中 SQL 明细所记录的信息，因此在开启 V2 版本的数据库审计时，默认同步开启全量 SQL 洞察的 SQL 明细 ，反之关闭 V2 版本的数据库审计时，全量 SQL 洞察的明细也会同步关闭。
- 当数据库审计的 SQL 记录超过 8K 时，那么 V2 版本的内核将截断 SQL 信息，截断后将无法正常解析表名、SQL 指纹等。
- 数据库审计会统计所有的 DQL、DML 和 DDL 操作记录，这些操作记录由数据库内核分析获取，因此可能会被导致数据出现不准确的情况。
- 审计日志不解析实际的参数值，并且在 SQL 查询量较大时会出现少量记录丢失的情况。因此，通过这种方式统计增量数据可能会存在不准确的问题。
- 数据库审计虽然对开源标准 MySQL Driver 进行过数据完整性验证，但是对于使用第三方工具或涉及修改 Driver 的情况，可能会由于网络协议兼容问题致使部分语句不完整。
- 系统下载的数据库审计文件采用 .gz（Gzip）格式进行压缩。当您使用的是 macOS 系统时，需根据以下提示解压下载后的文件：
- 使用系统自带的 gzip 或 gunzip 命令行工具解压：打开终端 Terminal 使用系统自带的 gzip 或 gunzip 命令行工具进行解压。命令格式为 gzip -d 你的文件名.gz 或 gunzip 你的文件名.gz。
- 使用 tar 工具解压：下载安装 tar 工具进行解压。命令格式为 tar -xz --force-local -f 文件名.gz。
- 存储资源
- 存储位置：审计数据由 DBW 提供存储，不占用数据库实例自身存储空间。
- 分层存储策略
- 超出标准保留期限的审计日志将自动转存至低频存储：
- 低频存储单价显著低于标准存储，适用于长期归档、访问频率低的历史日志。
- 虽读取时可能产生少量 Retrieval（取回）费用，但整体成本远低于长期使用标准存储。
- 在保障数据可查性的前提下，有效降低长期存储开支。
- 开启数据库审计后，若需通过审计日志查看未命中索引的 SQL，您需要同时开启实例的 log_queries_not_using_indexes 参数和 slow_query_log 参数，参数取值均需设置为 ON。
- 审计日志不记录预处理协议中的 Prepare 和 Close 操作。
- 数据库审计会统计所有的 DQL、DML 和 DDL 操作记录，这些操作记录由系统通过网络协议分析获取，因此可能会被导致数据出现不准确的情况。
- 审计日志不解析实际的参数值，并且在 SQL 查询量较大时会出现少量记录丢失的情况。因此，通过这种方式统计增量数据可能会存在不准确的问题。
- 数据库审计虽然对开源标准 MySQL Driver 进行过数据完整性验证，但是对于使用第三方工具或涉及修改 Driver 的情况，可能会由于网络协议兼容问题致使部分语句不完整。
- 暂不支持记录 SSL 连接下的审计日志。
- 由于数据库审计机制的特定设计，数据库审计仅对开启该功能后新建的连接统计来源 IP。为了使存量会话能够拥有完整的来源 IP 审计，建议您采取终止存量连接会话的操作，并触发自动重连。这样可以确保所有会话的来源 IP 都能被准确记录和审计，从而提高数据库的安全性和可追溯性。
- 系统下载的数据库审计文件采用 .gz（Gzip）格式进行压缩。当您使用的是 macOS 系统时，需根据以下提示解压下载后的文件：
- 使用系统自带的 gzip 或 gunzip 命令行工具解压：打开终端 Terminal 使用系统自带的 gzip 或 gunzip 命令行工具进行解压。命令格式为 gzip -d 你的文件名.gz 或 gunzip 你的文件名.gz。
- 使用 tar 工具解压：下载安装 tar 工具进行解压。命令格式为 tar -xz --force-local -f 文件名.gz。
费用
开启审计日志
- 登录 DBW 控制台。
- 在顶部菜单栏，选择地域。
- 在左侧导航栏，选择运维管理 > 观测诊断。
- 在观测诊断页面右上角顶部菜单栏，切换数据库类型。
- 将数据库类型切换为云数据库 veDB MySQL 版。
- 在观测诊断页面左上角，单击下拉图标，选择目标实例。
说明
您也可以通过实例 ID 搜索切换至目标实例。
- 在目标实例页面，单击数据库审计。
- 在数据库审计页面，按需开启不同版本的数据库审计。
-
- 在选择审计版本配置向导页面，勾选审计 V2 版本。
- 单击下一步。
- 在配置功能配置向导页面，配置以下信息：
- 参数说明需开通的功能根据需求勾选是否同时开通全量 SQL 洞察功能。若勾选全量 SQL 洞察功能，则同步开启实例的全量 SQL 洞察功能；若未勾选全量 SQL 洞察功能，由于全量 SQL 洞察的 SQL 明细为数据库审计相关信息，因此仅默认开启全量 SQL 洞察的 SQL 明细功能。标准存储时长按需选择 V2 版本的审计日志的存储时长，当前支持选择 1 天（默认值）、7 天、30 天、180 天、1 年或 3 年，也支持自定义存储时长，最长支持设置 1095 天。说明SQL 数据的存储空间是由 DBW 侧提供，不占用数据库实例的存储空间。低频存储按需开启实例的低频存储，优化存储使用成本。低频存储时长使用成本功能，可将不常被访问但不能删除的数据，以更低成本安全存储，实现成本与性能的平衡。
- 不开启：若不开启低频存储，那么 DBW 会清空超出标准存储时长的 SQL 审计日志，建议将 SQL 审计日志下载保存至本地，以便后续查询。
- 开启：若开启低频存储，那么 DBW 会将超出标准存储时长的 SQL 审计日志转存至低频存储中，进入低频存储的数据，检索效率将有所降低。
低频存储时长按需设置低频存储时长，当前支持选择 30 天（默认值）、60 天、90 天、180 天、1 年或 3 年，也支持自定义低频存储时长，最长支持设置 3648 天。SQL 存储时长SQL 数据的默认存储时长是标准存储时长 + 低频存储时长。系统支持的最长存储周期为 3650 天，该上限为固定值，不支持修改。存储 SQL 类型按需勾选 SELECT、INSERT、UPDATE、DELETE、ALTER、CREATE、DROP、RENAME、TRUNCATE 和 OTHER（其他全部 SQL 类型）。标签标签用于标记资源，便于搜索和资源聚合。支持以下两种方式为实例的 SQL 洞察与审计功能添加标签：- 手动添加：单击笔状图标，在编辑标签对话框，设置标签键和标签值。配置需遵循以下规则：
- 命名限制：标签键不支持以 volc: 开头（不区分大小写，如 Volc:、VOLC: 等均不可用）。
- 字符支持：支持大小写字母、数字、空格及特定英文符号（_、.、:、/、=、+、-、@）。
- 长度限制：长度需在 1~128 个字符之间。
- 编码格式：支持 UTF-8 编码的 Unicode 格式。
- 复制实例标签：支持将实例当前的标签直接复制到 SQL 审计费用标签中。后续如果实例标签发生变化，SQL 审计费用标签不会自动同步，需要您手动再次执行复制操作。
单击复制实例标签，在复制实例标签对话框，单击复制实例标签，即可完成实例标签至 SQL 审计标签的复制。若实例标签的键和 SQL 审计费用标签存在冲突，复制时会跳过冲突项，仅复制其余标签。说明- 单次最多支持绑定 20 个标签，单个实例最多绑定 50 个标签。如需对标签进行统一管理，请参考标签管理。
- 同一个资源拥有的标签 Key 不可重复，且一个标签 Key 只有一个 Value。
协议阅读并勾选我已阅读并同意《数据库工作台 DBW 服务条款》。
- 单击开启数据库审计 & SQL 洞察。
说明- 在选择审计版本配置向导页面，勾选审计 V1 版本。
- 单击下一步。
- 在配置功能配置向导页面，单击点击开通，开通日志服务。
说明开通审计日志功能前，您需开通日志服务 TLS。如果已授权可忽略此步骤。- （可选）授权数据库工作台 DBW 访问日志服务。
说明开通审计日志功能前，您需先授权数据库工作台 DBW 访问火山引擎日志服务 TLS。如果已授权可忽略此步骤。- 在数据库审计页签，单击点击授权。
- 在确定授权吗对话框，单击确定，授权数据库工作台 DBW 访问日志服务。
说明成功授权后，产生的日志才能成功写入日志服务。- 在配置功能配置向导页面，请仔细阅读注意事项，并配置以下信息：
- 审计日志保留时长：当前支持设置保留 1 天、7 天、30 天（默认值）、180 天、1 年或 3 年，如有其他时长需求，待开启该功能后，可在数据库审计页签，单击查看日志主题修改日志存储时长。
- 设置标签：标签用于标记资源，便于搜索和资源聚合。单击标签后的编辑图标，设置标签键和标签值，为实例添加标签。标签键和标签值的配置规则如下：
- 不支持设置以任何形式的 volc: 为开头的 Key，例如 Volc:、VOLC: 等。
- 可以包含语言字符、数字、空格和英文符号，英文符号包括 _、.、:、/、=、+、- 和 @。
- 长度需在 1~128 个字符内。
- 使用 UTF-8 编码的 Unicode 格式。
- 数据保留策略：（可选）勾选是否在删除实例时，同时删除对应得日志服务主题，并清空历史数据。
- 协议：阅读并勾选我已阅读并同意《数据库工作台 DBW 服务条款》。
- 单击开启审计。
查询审计日志
查询数据库审计信息时，仅支持在数据库实例 SQL 存储时长范围内设置任意的查询开始时间，查看最多 24 小时的数据。如需查询更大时间范围的 SQL 记录，建议您导出后进行查询。导出功能会异步导出日志，适合大时间范围内的查询。
- 登录 DBW 控制台。
- 在顶部菜单栏，选择地域。
- 在左侧导航栏，选择运维管理 > 观测诊断。
- 在观测诊断页面右上角顶部菜单栏，切换数据库类型。
- 将数据库类型切换为云数据库 veDB MySQL 版。
- 在观测诊断页面左上角，单击下拉图标，选择目标实例。
说明
- 您也可以通过实例 ID 搜索切换至目标实例。
- 当您通过左侧导航栏的观测诊断进入数据库审计页签时，默认展示实例列表中第一个实例的相关信息。
- 在目标实例页面，单击数据库审计。
- 在数据库审计页签，查看目标版本的审计日志。
- 如果您同时开启了 V1 和 V2 版本的数据库审计，那么您可以在页面右上角按需筛选目标版本的审计日志。
- 您可以按照日期、数据库名、表名和节点筛选，也可以单击高级筛选，进行更细粒度的筛选，部分参数信息如下所示。
- 日期：按需设置查询审计日志的时间，仅支持在数据库实例 SQL 存储时长范围内设置任意的查询开始时间，查看最多 24 小时的数据。如需查询更大时间范围的 SQL 记录，建议您导出后进行查询。导出功能会异步导出日志，适合大时间范围内的查询。
- 执行时间：公共服务区网络的响应时间（RT）。按需设置执行时长，单位：毫秒（ms）。
您可以按照日期、数据库名或表名筛选，也可以单击高级筛选，进行更细粒度的筛选，具体参数信息如下所示。- 日期：推广期内支持免费查看近 30 天内的审计日志，推广期后仅支持免费查看近 1 天内的审计日志，如有其他需求可单击该页签右上角的查看日志主题，修改日志保留时间。
- 日志等级：在下拉列表中按需勾选日志等级，支持多选，当前支持的日志等级有 normal、warning 和 incident。
- 执行时间：公共服务区网络的响应时间（RT）。按需设置执行时长，单位：毫秒（ms）。
- 日志类型：在下拉列表中勾选目标日志类型，支持多选。支持的日志类型如下所示：
- normal：登录数据库、登出数据库、创建数据库、创建表、修改表、创建视图、修改视图、创建索引、创建存储过程、修改存储过程、创建函数、修改函数、创建触发器、修改触发器、创建事件、修改事件、执行存储过程、执行函数、查询表、查询表（系统表）、插入数据、删除数据和其他操作。
- warning：修改数据库、删除视图、修改索引、删除存储过程、删除函数、删除触发器、删除事件、全量表查询、更新表信息和大范围表查询。
- incident：删除数据库、删除索引、删除表、更新系统表信息、插入数据（系统表）、删除数据（系统表）、全量表删除、大范围表删除、全量表删除、大范围表删除、全量表更新、大范围表更新和TRUNCATE表。
说明当由于某些原因导致的影响行数较多，影响数据超过 500 行且超过表数据的 10% 时，也属于 warning 等级。
- 单击查询。成功筛选后，您可以在审计日志列表区域查看目标日志信息，具体如下所示：
- V2 和 V1 版本的审计日志明细信息如下所示：
- V2 和 V1 版本共同指标：用户名、数据库名称、表名、SQL 语句、SQL 类型、影响行数、日志等级、客户端 IP和日志类型。
- V2 独有指标：执行耗时、SQL 耗时（ms）、执行结果、节点名称、会话 ID、CPUTime、RowLockWaitTime、MDLWaitTime、LatchWaitTime、TRXCommitTime、CCLWaitTime、SocketSendTime、ThreadScheduleTime、ThreadWaitTime、扫描行数、返回行数、发送字节数、逻辑页读取次数、IO读取字节数、IO读页面数量和磁盘临时表数量。
- V1 独有指标：产生时间和执行时间。
- 同时您还可以进行以下操作：
- 查看日志内具体执行语句：单击目标日志的 SQL 语句列下复制图标，查看具体执行语句。
- 下载日志：单击下载图标，下载需要导出的审计日志信息。
- 查看 SQL 优化建议：单击目标日志操作列的 SQL 优化，可查看 SQL 优化建议。SQL 优化建议包括执行的 SQL 语句、执行计划、优化建议包括索引优化和 SQL 改写。
说明
下载审计日志
说明
系统下载的数据库审计文件采用 .gz（Gzip）格式进行压缩。当您使用的是 macOS 系统时，需根据以下提示解压下载后的文件：
- 使用系统自带的 gzip 或 gunzip 命令行工具解压：打开终端 Terminal 使用系统自带的 gzip 或 gunzip 命令行工具进行解压。命令格式为 gzip -d 你的文件名.gz 或 gunzip 你的文件名.gz。
- 使用 tar 工具解压：下载安装 tar 工具进行解压。命令格式为 tar -xz --force-local -f 文件名.gz。
- 登录 DBW 控制台。
- 在顶部菜单栏，选择地域。
- 在左侧导航栏，选择运维管理 > 观测诊断。
- 在观测诊断页面右上角顶部菜单栏，切换数据库类型。
- 将数据库类型切换为云数据库 veDB MySQL 版。
- 在观测诊断页面左上角，单击下拉图标，选择目标实例。
说明
您也可以通过实例 ID 搜索切换至目标实例。
- 在目标实例页面，单击数据库审计。
- 在页面右上角，将数据库版本切换为审计 V1 版本或审计 V2 版本。
- 如果您同时开启了 V1 和 V2 版本的数据库审计，那么您可以在页面右上角按需筛选目标版本的审计日志。
- 在审计日志页签，单击下载图标，选择下载类型。
-
- 单击导出当前页。
- 在导出数据对话框，按需勾选需要下载审计日志的字段。
- 单击确定。
- 导出日志
- 单击导出全部日志。
- 在导出审计日志对话框，配置相关参数信息，具体如下表所示。
-
- 单击确定。
- 下载日志
- 在数据库审计页签，单击下载图标，然后选择导出历史。
- 在导出历史对话框，选择状态为已生成的目标任务，单击操作列下的下载文件。
关闭 V1 数据库审计日志
说明
- 关闭该功能后审计日志最长保留时间将根据您设置的审计日志保留时长保留，该时间段内审计日志将持续收费，您也可以在日志服务内提前删除该日志。
- 关闭该功能后，日志服务的免费额度将失效。
- 登录 DBW 控制台。
- 在顶部菜单栏，选择地域。
- 在左侧导航栏，选择运维管理 > 观测诊断。
- 在观测诊断页面右上角顶部菜单栏，切换数据库类型。
- 将数据库类型切换为云数据库 veDB MySQL 版。
- 在目标实例页面，单击数据库审计。
- 在数据库审计页签，数据库版本切换为审计 V1 版本。
- 在审计日志页签，单击关闭数据库审计。
- 在确认删除对话框，确认是否删除日志主题。
- 如果不删除，审计日志最长保留时长将根据您设置的审计日志保留时长保留，该段时间内审计日志将持续收费；如果删除，将清空历史数据，释放日志服务存储空间，避免持续向日志服务付费。
- 单击确定。
设置审计日志
说明
- 关闭该功能后审计日志最长保留时间将根据您设置的审计日志保留时长保留，该时间段内审计日志将持续收费，您也可以在日志服务内提前删除该日志。
- 关闭该功能后，日志服务的免费额度将失效。
- 登录 DBW 控制台。
- 在顶部菜单栏，选择地域。
- 在左侧导航栏，选择运维管理 > 观测诊断。
- 在观测诊断页面右上角顶部菜单栏，切换数据库类型。
- 将数据库类型切换为云数据库 veDB MySQL 版。
- 在目标实例页面，单击数据库审计。
- 在数据库审计页签，按需选择关闭的审计版本，单击服务设置。
- 在服务设置对话框，配置以下参数信息：
-
- 审计日志保留时长：按需设置审计日志的保留时长，支持选择 1 天、7 天、30 天、180 天、1 年和 3 年。
- 设置标签：标签用于标记资源，便于搜索和资源聚合。单击标签后的编辑图标，设置标签键和标签值，为实例添加标签。标签键和标签值的配置规则如下：
- 不支持设置以任何形式的 volc: 为开头的 Key，例如 Volc:、VOLC: 等。
- 可以包含语言字符、数字、空格和英文符号，英文符号包括 _、.、:、/、=、+、- 和 @。
- 长度需在 1~128 个字符内。
- 使用 UTF-8 编码的 Unicode 格式。
- 单击确定。
最近更新时间：2026.09.01 14:01:58
这个页面对您有帮助吗？
有用
有用
无用
无用