監査ログ
Dorisは、データベース操作の監査機能を提供し、ユーザーのログイン、クエリ、およびデータベースに対する変更操作の記録を可能にします。Dorisでは、監査ログは組み込みのシステムテーブルを通じて直接クエリするか、Dorisの監査ログファイルを閲覧することで確認できます。
監査ログの有効化
監査ログプラグインは、グローバル変数enable_audit_plugin（デフォルトでは無効）を使用していつでも有効または無効にできます。例えば：
set global enable_audit_plugin = true;
有効にすると、Dorisは監査ログをaudit_logテーブルに書き込みます。
監査ログプラグインはいつでも無効にできます：
set global enable_audit_plugin = false;
無効にした後、Dorisはaudit_logテーブルへの書き込みを停止します。既に書き込まれた監査ログは変更されません。
監査ログテーブルの確認
バージョン2.1.8より前では、システムバージョンのアップグレードに伴い、監査ログテーブルのフィールドが増加している可能性があります。アップグレード後、監査ログテーブル内のフィールドに基づいてALTER TABLEコマンドを使用してaudit_logテーブルにフィールドを追加する必要があります。
Dorisバージョン2.1以降、Dorisは監査ログ機能を有効にすることで、ユーザーの行動操作を__internal_schemaデータベース内のaudit_logテーブルに書き込むことができます。
監査ログテーブルは動的にパーティション化されたテーブルで、デフォルトでは日次でパーティション化され、最新の30日間のデータを保持します。ALTER TABLE文を使用してdynamic_partition.startプロパティを変更することで、動的パーティションの保持期間を調整できます。
監査ログファイル
fe.confで、LOG_DIRはFEログの保存パスを定義します。このFEノードで実行されたすべてのデータベース操作は${LOG_DIR}/fe.audit.logに記録されます。クラスタ内のすべての操作を表示するには、各FEノードの監査ログを確認する必要があります。
監査ログフォーマット
バージョン3.0.7より前では、文内の記号\n、\t、\rは\\n、\\t、\\rに置き換えられていました。これらの変更された文は、fe.audit.logファイルとaudit_logテーブルに保存されました。
バージョン3.0.7以降、fe.audit.logファイルでは、文内の\nのみが\\nに置き換えられます。audit_logテーブルは、文の元の形式を保存します。
監査ログ設定
グローバル変数：
監査ログ変数はset [global] <var_name> = <var_value>を使用して変更できます。
| 変数 | デフォルト値 | 説明 |
|---|---|---|
audit_plugin_max_batch_interval_sec | 60秒 | 監査ログテーブルの最大書き込み間隔。 |
audit_plugin_max_batch_bytes | 50MB | 監査ログテーブルのバッチあたりの最大データ量。 |
audit_plugin_max_sql_length | 4096 | 監査ログテーブルに記録されるSQL文の最大長。 |
audit_plugin_load_timeout | 600秒 | 監査ログインポートジョブのデフォルトタイムアウト。 |
audit_plugin_max_insert_stmt_length | Int.MAX | INSERT文の最大長制限。audit_plugin_max_sql_lengthより大きい場合、audit_plugin_max_sql_lengthの値が使用されます。このパラメータは3.0.6以降でサポートされています。 |
一部のINSERT INTO VALUES文は非常に長く、頻繁に送信される可能性があり、監査ログが大きくなりすぎる原因となるためです。したがって、Dorisはバージョン3.0.6でaudit_plugin_max_insert_stmt_lengthを追加し、INSERT文の監査長を個別に制限しています。これにより監査ログの拡大を回避し、SQL文が完全に監査されることを保証します。
FE設定項目：
FE設定項目はfe.confディレクトリを編集することで変更できます。
| 設定項目 | 説明 |
|---|---|
skip_audit_user_list | 特定のユーザーの操作を監査ログに記録したくない場合、この設定を変更できます（バージョン3.0.01以降でサポート）。例えば、user1とuser2を監査ログ記録から除外するには次の設定を使用します：skip_audit_user_list=user1,user2 |
