Wie man das Datenbank-Audit-Trailing für MS Azure MySQL konfiguriert
Zusätzlich zu anderen Funktionen bietet DataSunrise ein spezielles Auditing-Tool, das DB-Audit-Trailing, basierend auf der Nutzung nativer Datenbank-Auditing-Tools und -Mechanismen. In diesem Artikel erklären wir, wie Sie DataSunrise und Ihre auf MS Azure gehostete MySQL-Datenbank für das DB-Audit-Trailing konfigurieren.
Beachten Sie, dass dieser Leitfaden alle erforderlichen Aktionen beschreibt, um das DB-Audit-Trailing von Anfang an zum Laufen zu bringen. Nehmen wir an, Sie haben weder eine Datenbank noch die entsprechenden Azure-Ressourcen. Um die Schritte dieses Leitfadens zu befolgen, benötigen Sie nur DataSunrise, das auf Ihrem Rechner installiert ist, und Zugang zum Microsoft Azure-Portal.
In das Microsoft Azure-Portal einloggen
Loggen Sie sich zuerst in das Microsoft Azure-Portal ein und folgen Sie den untenstehenden Schritten. Wenn Sie mit der Oberfläche von Azure nicht vertraut sind, könnten Sie das Suchfeld oben auf dem Bildschirm („Ressourcen, Dienste und Dokumente durchsuchen“) nützlich finden.
Registrierung einer Azure-Anwendung
DataSunrise wird diese Anwendung verwenden, um die Protokolldateien Ihrer MySQL-Datenbank aus dem mit Ihrem Speicherkonto verbundenen Blob-Container herunterzuladen. Befolgen Sie die folgenden Schritte:
1. Navigieren Sie zu App-Registrierungen -> Neue Registrierung und registrieren Sie Ihre Anwendung. Beachten Sie, dass Umleitungs-URI (optional) nicht erforderlich ist.
2. Erteilen Sie Ihrer App die Berechtigungen zum Zugriff auf Blob-Container.
Auf der Seite API-Berechtigungen klicken Sie auf Berechtigung hinzufügen
Im Tab Microsoft APIs wählen Sie Azure Storage und dann Delegierte Berechtigungen und user_impersonation:
Klicken Sie auf Berechtigungen hinzufügen, um die Änderungen anzuwenden
3. Erstellen Sie ein Geheimnis für Ihre App, damit Azure Ihre App identifizieren kann.
- Navigieren Sie zu Zertifikate und Geheimnisse
- Klicken Sie unter Client-Geheimnisse auf Neues Client-Geheimnis, um ein neues Geheimnis zu erstellen. SPEICHERN SIE DEN GEHEIMEN WERT IRGENDWO: Sie werden ihn später benötigen.
Erstellung einer Ressourcengruppe
Eine Ressourcengruppe wird benötigt, um Entitäten (Ressourcen) zu enthalten, die mit Ihrer Datenbankumgebung verbunden sind.
Gehen Sie zu Ressourcengruppen und erstellen Sie eine Ressourcengruppe.
Erstellung eines Speicherkontos
Das Speicherkonto wird Ihre MySQL-Protokolldateien enthalten. DataSunrise wird diese Protokolle aus Ihrem Speicherkonto abrufen.
1. Gehen Sie zu Speicherkonten und erstellen Sie ein Konto
2. Wählen Sie Ihre Ressourcengruppe in den Einstellungen des Speicherkontos und benennen Sie das Speicherkonto. Lassen Sie alle anderen Einstellungen standardmäßig.
3. Navigieren Sie zu Zugriffskontrolle (IAM) und klicken Sie auf Hinzufügen -> Rollenzuweisung hinzufügen
Wählen Sie Leser: Weiter. Klicken Sie auf + Mitglieder auswählen und wählen Sie Ihre registrierte App. Überprüfen und zuweisen. Dies ist erforderlich, damit Ihre App auf die in den Blob-Containern Ihres Speicherkontos enthaltenen Protokolldateien zugreifen kann:
4. Klicken Sie erneut auf Rollenzuweisung hinzufügen und wählen Sie Storage Blob Data Reader.
5. Klicken Sie auf + Mitglieder auswählen und wählen Sie Ihre registrierte App. Überprüfen und zuweisen.
Erstellung eines MySQL-Datenbankservers
Erstellen Sie einen MySQL-Datenbankserver, wenn Sie keinen haben. Andernfalls bearbeiten Sie die Einstellungen Ihrer Datenbank gemäß den folgenden Schritten:
1. Navigieren Sie zu Azure Database für MySQL-Server und erstellen Sie einen neuen Server: Navigieren Sie zu Erstellen -> Flexibler Server -> Erstellen
2. Geben Sie alle erforderlichen Serverdetails an.
3. Aktivieren Sie auf der Netzwerk-Registerkarte Öffentlicher Zugriff… und fügen Sie die erforderlichen Firewallregeln hinzu. Schließen Sie die Bereitstellung ab.
4. Gehen Sie zu Ihre MySQL-Datenbank -> Einstellungen -> Serverparameter und aktivieren Sie audit_log_enabled, um das native Auditing für Ihre Datenbank zu aktivieren. Wählen Sie die zu protokollierenden Ereignistypen, indem Sie audit_log_events konfigurieren. Fügen Sie MySQL-Benutzer hinzu, die in das Logging einbezogen oder davon ausgeschlossen werden sollen, indem Sie audit_log_exclude_users und audit_log_include_users entsprechend konfigurieren.
Speichern Sie die Einstellungen.
5. Konfigurieren Sie Ihre Datenbank, um Protokolle in einem zugehörigen Speicherkonto zu speichern.
Gehen Sie zu Überwachung -> Diagnostikeinstellungen -> Diagnostikeinstellung hinzufügen
Aktivieren Sie MySqlAuditLogs und Archivieren in ein Speicherkonto und wählen Sie Ihr Speicherkonto aus:
Erstellung einer MySQL-Instanz in DataSunrise
Öffnen Sie die Webkonsole von DataSunrise und navigieren Sie zu Konfiguration -> Datenbanken, um eine MySQL-Datenbankinstanz zu erstellen (siehe Unterabschnitt „Erstellung eines Ziel-Datenbankprofils“ im DataSunrise-Benutzerhandbuch für Details).
Sie müssen die folgenden Informationen angeben:
1. Wählen Sie Trailing der DB-Audit-Protokolle in den Einstellungen der Instanz. Füllen Sie alle erforderlichen Felder aus.
2. Kopieren Sie die ClientID und TenantID Ihrer Azure-App, damit DataSunrise die App zum Herunterladen der Protokolldateien Ihrer MySQL-Datenbank verwenden kann:
3. Geben Sie das zuvor gespeicherte Client-Geheimnis ein (siehe Schritt 3 der Registrierung einer Azure-Anwendung).
4. Geben Sie den Blob-Container-Namen ein. Sie können den Namen Ihres Blob-Containers unter Azure Speicherkonten -> Ihr Konto -> Container in Ihren Azure-Einstellungen finden:
Auditergebnisse
Erstellen Sie einige Audit-Regeln für Ihre MySQL-Datenbank (siehe Unterabschnitt „Erstellung einer Daten-Audit-Regel“ im Benutzerhandbuch) und führen Sie einige Abfragen auf Ihrer MySQL-Datenbank aus. Navigieren Sie zu Audit -> Transaktionsspuren für die Auditergebnisse:
