MySQL審計插件MariaDB Audit Plugin學習總結

MySQL的社區版沒有審計功能，企業版才有審計功能，企業版中自帶 Audit Plugin ，名為audit_log.so，但是其它MySQL分支版本也開發了各自的審計功能插件，最常見的就是Percona Audit Log Plugin、MariaDB Audit Plugin、當然還有通用插件McAfee MySQL Audit Plugin， 如果MySQL社區版想上審計功能的話，能否使用這三個插件呢？答案是社區版MySQL可以使用MariaDB Audit Plugin和McAfee MySQL Audit Plugin，Percona Audit Log Plugin是僅供Percona Server使用的免費插件，下面我們來學習、總結一下，在MySQL社區版中如何使用MariaDB Audit Plugin插件來做資料庫的跟蹤、審計，

插件介紹

下面是官方網址關于MariaDB Audit Plugin的介紹，更多資料請參考https://mariadb.com/kb/en/mariadb-audit-plugin/

MariaDB and MySQL are used in a broad range of environments, but if you needed to record user access to be in compliance with auditing regulations for your organization, you would previously have had to use other database solutions. To meet this need, though, MariaDB has developed the MariaDB Audit Plugin. Although the MariaDB Audit Plugin has some unique features available only for MariaDB, it can be used also with MySQL.

Basically, the purpose of the MariaDB Audit Plugin is to log the server's activity. For each client session, it records who connected to the server (i.e., user name and host), what queries were executed, and which tables were accessed and server variables that were changed. This information is stored in a rotating log file or it may be sent to the local syslogd.

The MariaDB Audit Plugin works with MariaDB, MySQL (as of, version 5.5.34 and 10.0.7) and Percona Server. MariaDB started including by default the Audit Plugin from versions 10.0.10 and 5.5.37, and it can be installed in any version from MariaDB 5.5.20.

插件下載

  目前而言，官方并沒有提供單獨MariaDB Audit Plugin下載地址，所以你必須下載MariaDB的安裝包，然后從安裝包中找到插件的檔案，

官方下載地址：

    https://downloads.mariadb.org/mariadb/+releases/

這里我們下載mariadb-5.5.64-linux-systemd-x86_64.tar.gz測驗驗證一下，插件server_audit.so一般位于目錄./lib/plugin下面，

插件安裝

MySQL的插件必須放在plugin_dir目錄下面，所以首先查看當前社區版本MySQL的系統變數plugin_dir（插件路徑）

mysql> select version() from dual;

+------------+

| version()  |

+------------+

| 5.7.21-log |

+------------+

1 row in set (0.00 sec)

mysql> show variables like 'plugin_dir';

+---------------+--------------------------+

| Variable_name | Value                    |

+---------------+--------------------------+

| plugin_dir    | /usr/lib64/mysql/plugin/ |

+---------------+--------------------------+

1 row in set (0.01 sec)

mysql> 

將server_audit.so檔案拷貝到系統變數plugin_dir對應的目錄下面，

# cd /tmp

# tar -xzvf mariadb-5.5.64-linux-systemd-x86_64.tar.gz 

# cd mariadb-5.5.64-linux-systemd-x86_64

# find ./ -name "server_audit.so"

./lib/plugin/server_audit.so

# cp /tmp/mariadb-5.5.64-linux-systemd-x86_64/lib/plugin/server_audit.so /usr/lib64/mysql/plugin/

# chmod +x server_audit.so 

在安裝MySQL插件MariaDB Audit Plugin前，先確認系統glibc版本是否匹配編譯server_audit.so的glibc版本，MariaDB一般多使用2.14版glibc進行編譯，如果沒有2.14版本的glibc，很有可能出現下面錯誤，如下所示： 

# strings /lib64/libc.so.6 |grep GLIBC_

GLIBC_2.2.5

GLIBC_2.2.6

GLIBC_2.3

GLIBC_2.3.2

GLIBC_2.3.3

GLIBC_2.3.4

GLIBC_2.4

GLIBC_2.5

GLIBC_2.6

GLIBC_2.7

GLIBC_2.8

GLIBC_2.9

GLIBC_2.10

GLIBC_2.11

GLIBC_2.12

GLIBC_PRIVATE

mysql> INSTALL PLUGIN server_audit SONAME 'server_audit.so';

ERROR 1126 (HY000): Can't open shared library '/usr/lib64/mysql/plugin/server_audit.so' (errno: 2 /lib64/libc.so.6: version `GLIBC_2.14' not found (required by /usr/lib64/mysql/plugin/server_audit.so))

mysql>

安裝glibc2.14，簡單步驟如下，安裝glibc2.14可能會遇到一些問題，此篇不做展開講述，

# wget -c http://ftp.gnu.org/gnu/libc/glibc-2.14.tar.gz

# tar -zxvf glibc-2.14.tar.gz 

# cd glibc-2.14

# mkdir build

# cd build

# ../configure --prefix=/usr --disable-profile --enable-add-ons --with-headers=/usr/include --with-binutils=/usr/bin

#make && make install

安裝完成后，驗證是否安裝成功，

# ll /lib64/libc.so.6

lrwxrwxrwx 1 root root 12 May 23 18:28 /lib64/libc.so.6 -> libc-2.14.so

# strings /lib64/libc.so.6 |grep GLIBC_

GLIBC_2.2.5

GLIBC_2.2.6

GLIBC_2.3

GLIBC_2.3.2

GLIBC_2.3.3

GLIBC_2.3.4

GLIBC_2.4

GLIBC_2.5

GLIBC_2.6

GLIBC_2.7

GLIBC_2.8

GLIBC_2.9

GLIBC_2.10

GLIBC_2.11

GLIBC_2.12

GLIBC_2.13

GLIBC_2.14

GLIBC_PRIVATE

注意，安裝完2.14版本的glibc后，必須重啟MySQL，否則在安裝補丁程序中，依然報上面錯誤

mysql> INSTALL PLUGIN server_audit SONAME 'server_audit.so';

ERROR 1126 (HY000): Can't open shared library '/usr/lib64/mysql/plugin/server_audit.so' (errno: 2 /lib64/libc.so.6: version `GLIBC_2.14' not found (required by /usr/lib64/mysql/plugin/server_audit.so))

重啟MySQL實體后，安裝成功，如下所示：

mysql> INSTALL PLUGIN server_audit SONAME 'server_audit.so';

Query OK, 0 rows affected (0.02 sec)

mysql> SELECT PLUGIN_NAME, PLUGIN_LIBRARY, PLUGIN_STATUS, LOAD_OPTION 

    -> FROM INFORMATION_SCHEMA.PLUGINS 

    -> WHERE PLUGIN_LIBRARY = 'server_audit.so';

+--------------+-----------------+---------------+-------------+

| PLUGIN_NAME  | PLUGIN_LIBRARY  | PLUGIN_STATUS | LOAD_OPTION |

+--------------+-----------------+---------------+-------------+

| SERVER_AUDIT | server_audit.so | ACTIVE        | ON          |

+--------------+-----------------+---------------+-------------+

1 row in set (0.00 sec)

關于插件MariaDB Audit Plugin 目前的版本資訊，如下所示

我們這里從mariadb-5.5.64拷貝的插件檔案，所以MariaDB Audit Plugin的版本為 1.4.4， 具體參考官方檔案https://mariadb.com/kb/en/mariadb-audit-plugin-versions/

引數說明

如下所示可以查看MariaDB Audit Plugin的相關引數，用命令設定或在引數檔案my.cnf中配置，

mysql> show variables like '%server_audit%';

+-------------------------------+-----------------------+

| Variable_name                 | Value                 |

+-------------------------------+-----------------------+

| server_audit_events           |                       |

| server_audit_excl_users       |                       |

| server_audit_file_path        | server_audit.log      |

| server_audit_file_rotate_now  | OFF                   |

| server_audit_file_rotate_size | 1000000               |

| server_audit_file_rotations   | 9                     |

| server_audit_incl_users       |                       |

| server_audit_loc_info         |                       |

| server_audit_logging          | OFF                   |

| server_audit_mode             | 1                     |

| server_audit_output_type      | file                  |

| server_audit_query_log_limit  | 1024                  |

| server_audit_syslog_facility  | LOG_USER              |

| server_audit_syslog_ident     | mysql-server_auditing |

| server_audit_syslog_info      |                       |

| server_audit_syslog_priority  | LOG_INFO              |

+-------------------------------+-----------------------+

16 rows in set (0.00 sec)

mysql> SET GLOBAL server_audit_logging=ON;

Query OK, 0 rows affected (0.00 sec)

關于這些引數的具體定義，如下所示：

server_audit_events         

指定記錄到日志的event型別，Type如下，具體請見下面截圖（來自官方檔案），可以用逗號分隔的多個值(connect,query,table)，如果開啟了查詢快取(query cache)，查詢直接從查詢快取回傳資料，將沒有table記錄

引數server_audit_events的有效值跟插件版本有關，

·         CONNECT, QUERY, TABLE (MariaDB Audit Plugin < 1.2.0)

·         CONNECT, QUERY, TABLE, QUERY_DDL, QUERY_DML (MariaDB Audit Plugin >= 1.2.0)

·         CONNECT, QUERY, TABLE, QUERY_DDL, QUERY_DML, QUERY_DCL (MariaDB Audit Plugin >=1.3.0)

·         CONNECT, QUERY, TABLE, QUERY_DDL, QUERY_DML, QUERY_DCL, QUERY_DML_NO_SELECT (MariaDB Audit Plugin >= 1.4.4)

server_audit_excl_users

該串列的用戶行為將不記錄，connect將不受該設定影響     

server_audit_file_path      

審計日志路徑，如果server_audit_output_type為FILE，審計日志默認存于資料目錄下，即引數datadir對應的資料目錄下面，如果修改server_audit_file_path，之前舊的審計日志檔案不會被洗掉，需要手工去清理、洗掉，

另外MySQL會開始新的審計日志輪轉，

server_audit_file_rotate_now

強制輪轉一次，執行腳本SET GLOBAL server_audit_file_rotate_now = ON;后，審計日志就會強制輪轉一次，

server_audit_file_rotate_size

限制單個輪轉審計日志大小，超出該限值后自動輪轉，默認值為1000000，單位為byte,建議設定稍微大一點，例如,64M大小，67108864，具體根據實際需求和引數server_audit_file_rotations一起設定，

注意事項：如果你引數server_audit_file_rotations設定為1000000， 你會發現審計日志的實際大小跟這個引數有點出入，這個是正常的，因為沒法精準控制，可能寫入最后一條記錄后，發現日志檔案大小應該超過了1000000，行程立刻強制輪轉，但是此時檔案大小已經超過1000000了，

# ls -lrt server*

-rw-r----- 1 mysql mysql 1000048 May 25 05:25 server_audit.log.9

-rw-r----- 1 mysql mysql 1000451 May 25 09:02 server_audit.log.8

-rw-r----- 1 mysql mysql 1000602 May 25 09:35 server_audit.log.7

-rw-r----- 1 mysql mysql 1000816 May 25 09:42 server_audit.log.6

-rw-r----- 1 mysql mysql 1000616 May 25 09:50 server_audit.log.5

-rw-r----- 1 mysql mysql 1000721 May 25 09:55 server_audit.log.4

-rw-r----- 1 mysql mysql 1001032 May 25 10:02 server_audit.log.3

-rw-r----- 1 mysql mysql 1000867 May 25 10:06 server_audit.log.2

-rw-r----- 1 mysql mysql 1001079 May 25 10:12 server_audit.log.1

-rw-r----- 1 mysql mysql  570568 May 25 10:30 server_audit.log

官方檔案關于引數的詳細介紹位于https://mariadb.com/kb/en/mariadb-audit-plugin-options-and-system-variables/，這里簡單總結一下這些引數，

server_audit_file_rotations 

輪轉日志總數，當設為0表示審計日志不輪轉，默認值為9， 一般需要根據實際需求進行修改，

server_audit_incl_users    

指定哪些用戶的活動將記錄到審計日志，connect將不受此變數影響，該變數比server_audit_excl_users 優先級高

server_audit_loc_info   

這個是插件內部使用的引數，對用戶沒有什么意義，

·           在早期版本中，用戶將其視為只讀變數

·           在更高版本中，它對用戶不可見，   

server_audit_logging       

審計功能的開關， ON表示開啟審計功能，OFF表示關閉審計功能，

server_audit_mode    

標識版本，用于開發測驗，對于用戶而言，此變數沒有任何特殊含義， 它的值主要反映了啟動插件所使用的服務器版本，供開發人員用于測驗      

server_audit_output_type    

指定審計日志的型別，有SYSLOG 或FILE兩種選擇，默認為FILE

server_audit_query_log_limit

  記錄中查詢字串的長度限制，默認為1024

server_audit_syslog_facility

  當審計日志型別為syslog模式時，它定義了將發送到系統日志的記錄的“功能”， 以后可以使用此引數過濾日志，

server_audit_syslog_ident  

設定ident，作為每個syslog記錄的一部分 

server_audit_syslog_info    

指定的info字串將添加到syslog記錄

server_audit_syslog_priority

定義記錄日志的syslogd priority

默認情況下，日志記錄設定為OFF， 要啟用它，請將server_audit_logging變數設定為ON，請注意，如果啟用了查詢快取，并且從查詢快取回傳了查詢，則由于服務器未打開或訪問任何表而是依賴于快取的結果，因此沒有TABLE記錄將出現在日志中， 因此，您可能要禁用查詢快取，更多引數的詳細資訊，參考官方檔案https://mariadb.com/kb/en/mariadb-audit-plugin-options-and-system-variables/

簡單測驗

# mkdir -p /var/log/mysql_audit

# chown mysql:mysql /var/log/mysql_audit/

在引數檔案my.cnf里面修改一些系統變數引數，如下所示

#############################MariaDB Audit Plugin####################################

plugin_load_add = server_audit

server_audit_logging=on

server_audit_events=CONNECT,TABLE,QUERY_DDL,QUERY_DCL,QUERY_DML_NO_SELECT

server_audit_file_path='/var/log/mysql_audit/'

server_audit_file_rotate_size=67108864

server_audit_file_rotations=128

#####################################################################################

這些引數只能在MySQL實體重啟后才能生效，而生產環境一般也不能隨隨便便重啟，所以策略一般是在修改my.cnf中引數的同時，然后使用命令修改這些插件的變數，

mysql> set global server_audit_file_path='/var/log/mysql_audit/';

Query OK, 0 rows affected (0.05 sec)

mysql> set global server_audit_events='CONNECT,TABLE,QUERY_DDL,QUERY_DCL,QUERY_DML_NO_SELECT';

Query OK, 0 rows affected (0.00 sec)

mysql> set global server_audit_file_rotations=128;

Query OK, 0 rows affected (0.00 sec)

mysql> set global server_audit_file_rotate_size=67108864;

Query OK, 0 rows affected (0.00 sec)

mysql>set global server_audit_logging=ON;

Query OK, 0 rows affected (0.00 sec)

然后你就能在審計日志中看到相關內容了，簡單測驗如下所示：

問題小結

1：MariaDB Audit Plugin安裝到社區版MySQL，有些版本還有一些問題，因為MySQL版本眾多，以及API介面的變化，導致MariaDB Audit Plugin有一些Bug，有一些已經Fix掉了，一些暫時還沒有，

https://jira.mariadb.org/browse/MDEV-19396

https://jira.mariadb.org/browse/MDEV-9106

個人在測驗時發現，MySQL 8.0.18安裝mariadb-5.5.64下的MariaDB Audit Plugin插件是報下面錯誤：

mysql> INSTALL PLUGIN server_audit SONAME 'server_audit.so';

ERROR 1126 (HY000): Can't open shared library '/usr/lib64/mysql/plugin/server_audit.so' (errno: 2 /usr/lib64/mysql/plugin/server_audit.so: undefined symbol: my_printf_error)

mysql> 

2：不少MariaDB一般多使用2.14版glibc進行編譯，所以安裝插件需要依賴GLIBC_2.14組件

mysql> INSTALL PLUGIN server_audit SONAME 'server_audit.so';

ERROR 1126 (HY000): Can't open shared library '/usr/lib64/mysql/plugin/server_audit.so' (errno: 2 /lib64/libc.so.6: version `GLIBC_2.14' not found (required by /usr/lib64/mysql/plugin/server_audit.so))

mysql>

參考資料：

https://mariadb.com/kb/en/mariadb-audit-plugin-log-settings/

https://mariadb.com/kb/en/mariadb-audit-plugin-options-and-system-variables/

https://mariadb.com/kb/en/mariadb-audit-plugin-versions/

https://mariadb.com/kb/en/mariadb-audit-plugin/

標籤：MySQL

上一篇：MSC添加shard節點

下一篇：長時間查詢占用元資料鎖導致gh-ost變更失敗