文档中心

云数据库 TiDB 版

审计日志

管理数据库审计日志

云数据库 TiDB 版提供审计日志功能，可记录数据面 SQL 操作，帮助您追踪数据库行为，满足安全追溯与合规审计需求。

前提条件

已创建集群，且集群状态为 Active。

注意事项

开启审计日志后，请配置审计过滤规则，若未配置任何过滤规则，SQL 操作均不审计。

在数据库执行被审计的 SQL 操作后，需达到日志轮转间隔 60 分钟或日志文件 100 MiB 任一阈值，对应的审计日志才可在控制台查看。系统达到阈值后会归档当前日志文件并新建日志文件，仅轮转完成后的日志支持查看。

审计日志文件归档采用 UTC 时区日期，查询审计日志文件必须使用 UTC 日期作为筛选依据。若直接使用本地时区日期筛选，将无法检索到对应审计日志。

下载的审计日志文件会默认对 SQL 字面量做脱敏处理，SQL 语句中的参数值会显示为 ? 或直接省略。

您无法在云数据库 TiDB 版中指定数据库审计日志的存储位置，也无法手动删除审计日志。

配置审计日志

启用审计日志

数据库审计日志功能默认处于禁用状态。要启用该功能，请按照以下步骤操作：

登录云数据库 TiDB 版控制台。

在顶部菜单栏，选择集群所属的项目和地域。

单击目标集群名称。

在左侧导航栏中，单击设置 > DB 审计日志记录。

在数据库审计日志记录区域右侧，单击启用。

在弹出框中单击启用，以确认开启数据库审计日志功能。

说明

开启审计日志后，请配置审计过滤规则，若未配置任何过滤规则，SQL 操作均不审计。

查看和下载审计日志

查看和下载数据库审计日志，请按照以下步骤操作：

注意

如果您的 TiDB 集群是第一次启用数据库审计日志，数据库审计日志内容为空。

执行被审计的 SQL 操作后，需达到日志轮转间隔 60 分钟或日志文件 100 MiB 任一阈值，对应的审计日志才可在控制台查看。

如果审计日志功能被禁用超过 90 天，您将无法看到任何日志。

登录云数据库 TiDB 版控制台。

在顶部菜单栏，选择集群所属的项目和地域。

单击目标集群名称。

在左侧导航栏中，单击设置 > DB 审计日志记录。

在审计日志访问区域，可查看已生成的审计日志文件列表；SQL 记录详情需下载审计日志文件后查看。

单击目标日志文件行 ··· > 下载，即可完成下载操作。

说明

下载的审计日志文件中，SQL 字面量默认开启脱敏，语句内参数值将显示为 ? 或被省略。示例 SQL 语句如下：

INSERT INTO `test`.`users` (`id`, `name`, `password`) VALUES (1, 'Alice', '123456');

脱敏后如下所示：

INSERT INTO `test`.`users` (`id`, `name`, `password`) VALUES ( ... );

禁用审计日志

要禁用数据库审计日志，请按照以下步骤操作：

登录云数据库 TiDB 版控制台。

在顶部菜单栏，选择集群所属的项目和地域。

单击目标集群名称。

在左侧导航栏中，单击设置 > DB 审计日志记录。

在数据库审计日志记录区域右侧，单击禁用。

在弹出框中单击禁用，以确认禁用审计日志功能。

配置审计过滤规则

添加审计过滤规则

过滤规则用于确定需要审计的事件，执行以下步骤添加审计过滤规则：

登录云数据库 TiDB 版控制台。

在顶部菜单栏，选择集群所属的项目和地域。

单击目标集群名称。

在左侧导航栏中，单击设置 > DB 审计日志记录。

在审计过滤器区域，单击添加审计过滤规则。配置以下参数：

参数	说明
筛选器名称	您可以自行命名筛选器名称。
SQL 用户	请输入 SQL 用户。说明 SQL 用户格式为 <用户名>@<主机>，其中用户名组成为 <用户名前缀>.<user>。如需查看集群用户名及主机参数，请参见连接集群。用户名、主机名支持通配符：% 匹配任意值，_ 匹配单个字符。@ 与 <主机> 为可选项。举例如下： ZhpV9wHcNzXwz.root@gateway01‑privatelink.cn‑beijing.tidb.ivolces.com：完整用户名 + 指定主机，仅匹配从该主机使用此用户访问。 ZhpV9wHcNzXwz.%：用户名前缀固定，使用通配符匹配该前缀下所有不同 user 的账号（如 ZhpV9wHcNzXwz.root、ZhpV9wHcNzXwz.read）。 ZhpV9wHcNzXwz.root：省略 @ 和主机，等价于 ZhpV9wHcNzXwz.root@%，匹配该用户从任意主机访问。
筛选事件	单击下拉列表筛选事件，勾选 / 取消勾选以设定事件范围，仅选中范围内的操作将被审计记录。数据库审计日志支持审计的全部事件类型，请参见下文审计日志事件类型。

单击应用。

单击确认。

审计日志事件类型

以下是数据库审计日志支持审计的全部事件类型：

事件类型	描述	父类
CONNECTION	记录所有与连接相关的操作，如握手、连接、断开连接、重置连接、切换用户。	-
CONNECT	记录所有连接握手操作。	CONNECTION
DISCONNECT	记录所有断开连接操作。	CONNECTION
CHANGE_USER	记录所有切换用户操作。	CONNECTION
QUERY	记录所有 SQL 语句操作，包括所有查询和数据修改的错误。	-
TRANSACTION	记录所有与事务相关的操作，如 BEGIN、COMMIT 和 ROLLBACK。	QUERY
EXECUTE	记录所有 EXECUTE 语句的操作。	QUERY
QUERY_DML	记录所有 DML 语句操作，包括 INSERT、REPLACE、UPDATE、DELETE 和 LOAD DATA。	QUERY
INSERT	记录所有 INSERT 语句操作。	QUERY_DML
REPLACE	记录所有 REPLACE 语句操作。	QUERY_DML
UPDATE	记录所有 UPDATE 语句操作。	QUERY_DML
DELETE	记录所有 DELETE 语句操作。	QUERY_DML
LOAD DATA	记录所有 LOAD DATA 语句操作。	QUERY_DML
SELECT	记录所有 SELECT 语句操作。	QUERY
QUERY_DDL	记录所有 DDL 语句操作。	QUERY

编辑审计过滤规则

登录云数据库 TiDB 版控制台。

在顶部菜单栏，选择集群所属的项目和地域。

单击目标集群名称。

在左侧导航栏中，单击设置 > DB 审计日志记录。

在目标审计过滤规则行，单击 ··· > 编辑。

更新筛选器名称或筛选事件字段，然后单击确定。

删除审计过滤规则

登录云数据库 TiDB 版控制台。

在顶部菜单栏，选择集群所属的项目和地域。

单击目标集群名称。

在左侧导航栏中，单击设置 > DB 审计日志记录。

在目标审计过滤规则行，单击 ··· > 删除。

单击我已了解，删除它，以确认删除操作。

说明

执行删除审计日志过滤规则后，该规则将被永久删除且无法恢复。

审计日志字段

对于审计日志中的每条数据库事件记录，云数据库 TiDB 版提供以下字段：

通用信息

所有类型的审计日志均包含以下信息：

字段	描述
ID	标识操作审计记录的唯一标识符。
TIME	审计记录的时间戳。
EVENT	审计记录的事件类。多个事件类型以逗号（,）分隔。
USER	审计记录的用户名。
ROLES	操作时用户的角色。
CONNECTION_ID	用户连接的标识符。
TABLES	与该审计记录相关的访问表。
STATUS_CODE	审计记录的状态码。1 表示成功，0 表示失败。
KEYSPACE_NAME	审计记录的 keyspace 名称。
SERVERLESS_TENANT_ID	TiDB 集群所属的账号 ID。
SERVERLESS_PROJECT_ID	TiDB 集群所属的项目 ID。
SERVERLESS_CLUSTER_ID	审计记录所属的 TiDB 集群 ID。
REASON	审计记录的错误信息。仅在操作发生错误时记录。

SQL 语句信息

当事件类为 QUERY 或其子类时，审计日志包含以下信息：

字段	描述
CURRENT_DB	当前数据库名称。
SQL_TEXT	执行的 SQL 语句。如果启用了审计日志脱敏，则记录脱敏后的 SQL 语句。
EXECUTE_PARAMS	EXECUTE 语句的参数。仅当事件类包含 EXECUTE 且未启用脱敏时记录。
AFFECTED_ROWS	SQL 语句影响的行数。仅当事件类包含 QUERY_DML 时记录。

连接信息

当事件类为 CONNECTION 或其子类时，审计日志包含以下信息：

字段	描述
CURRENT_DB	当前数据库名称。当事件类包含 DISCONNECT 时不记录该信息。
CONNECTION_TYPE	连接类型，包括 Socket、UnixSocket 和 SSL/TLS。
PID	当前连接的进程 ID。
SERVER_VERSION	当前连接的 TiDB 服务器版本。
SSL_VERSION	当前使用的 SSL 版本。
HOST_IP	当前连接的 TiDB 服务器 IP 地址。
HOST_PORT	当前连接的 TiDB 服务器端口。
CLIENT_IP	当前客户端 IP 地址。
CLIENT_PORT	当前客户端端口。

最近更新时间：2026.09.24 14:33:54

这个页面对您有帮助吗？

有用

无用