MySQL-Datenbankprüfung verwenden

In diesem Thema wird beschrieben, wie Sie das Cloud SQL for MySQL-Audit-Plug-in aktivieren und verwenden. Eine Übersicht finden Sie unter MySQL-Datenbankprüfung. Weitere Informationen zu MySQL-Plug-ins finden Sie unter MySQL-Plug-in laden.

Hinweis

Audit-Logs zum Datenzugriff

Aktivieren und konfigurieren Sie Audit-Logs zum Datenzugriff. Siehe Audit-Logs zum Datenzugriff konfigurieren.

Für Audit-Nutzer erforderliche Berechtigungen

Sie benötigen EXECUTE-Berechtigungen für die gespeicherten Audit-Prozeduren, um sie auszuführen. Wenn ein Administrator die Zugriffsberechtigungen eines Prüfers für die gespeicherten Audit-Prozeduren ändern muss, sollte er den GRANT- oder REVOKE-Befehl im mysql-Client verwenden. Weitere Informationen zu den Nutzerberechtigungen finden Sie unter MySQL-Nutzerberechtigungen. Wenn ein Administrator beispielsweise einem Auditor mit dem Namen user Zugriff gewähren möchte, um die Audit-Regeln zu verwalten, kann er die Berechtigungen mit der folgenden Anweisung erteilen:

CREATE USER 'user'@'%' IDENTIFIED BY 'password';
GRANT EXECUTE ON PROCEDURE mysql.cloudsql_list_audit_rule TO 'user'@'%';

Wenn dieser Administrator später den Zugriff für den Prüfer widerrufen möchte, kann er die Berechtigungen mit der folgenden Anweisung widerrufen:

REVOKE ALL ON PROCEDURE mysql.cloudql_list_audit_rule FROM 'user'@'%';

Standardmäßig sind Nutzer, die mit Cloud SQL erstellt wurden (außer IAM-Nutzer), Administratoren, die alle Berechtigungen außer FILE und SUPER haben, einschließlich aller Berechtigungen für die gespeicherten Audit-Prozeduren. IAM-Datenbanknutzer haben standardmäßig keine Berechtigungen.

Cloud SQL for MySQL-Audit-Plug-in aktivieren

Das Cloud SQL for MySQL-Audit-Plug-in (cloudsql_mysql_audit) steuert das Prüfverhalten für eine bestimmte Datenbankinstanz. Damit Sie das Plug-in verwenden können, müssen Sie es zuerst auf der Cloud SQL-Instanz aktivieren.

Verwenden Sie eine der folgenden Optionen, um das Plug-in cloudsql_mysql_audit zu aktivieren:

• --cloudsql_mysql_audit=ON

  Weist den Server an, das Plug-in zu aktivieren. Wenn das Plug-in nicht initialisiert werden kann, wird der Server mit deaktiviertem Plug-in ausgeführt.

• --cloudsql_mysql_audit=FORCE

  Weist den Server an, das Plug-in zu aktivieren. Wenn die Plug-in-Initialisierung jedoch fehlschlägt, startet der Server nicht. Mit anderen Worten: Diese Option erzwingt, dass der Server mit dem aktivierten Plug-in oder gar nicht ausgeführt wird.

• --cloudsql_mysql_audit=FORCE_PLUS_PERMANENT

  Wie FORCE, verhindert jedoch, dass das Plug-in zur Laufzeit entladen wird. Wenn ein Nutzer versucht, das Plug-in mit UNINSTALL PLUGIN zu entladen, tritt ein Fehler auf.

Plug-in-Aktivierungsstatus sind in der Spalte PLUGIN_STATUS der Tabelle INFORMATION_SCHEMA.PLUGINS sichtbar.

gcloud sql instances patch INSTANCE_NAME \
           --database-flags cloudsql_mysql_audit=ON

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Einstellungen für das Cloud SQL for MySQL-Audit-Plug-in

Mit den folgenden Flags können Sie das Verhalten des Cloud SQL for MySQL-Audit-Plug-ins optimieren. Alle Flags können geändert werden, ohne die Datenbank neu zu starten. Informationen zum Verwalten der Flags finden Sie unter Datenbank-Flags konfigurieren.

• cloudsql_mysql_audit_data_masking_regex

  Ein regulärer Ausdruck für die Datenmaskierung, der mit Perl-kompatiblen regulären Ausdrücken (PCREs) kompatibel ist.

  Im Ausgabe-Audit-Log werden Nutzerpasswörter (<psw>) standardmäßig durch die Passwortmaske *** ersetzt.

  Regex wird nur auf Anweisungen mit einem Befehlstyp angewendet, der mit cloudsql_mysql_audit_data_masking_cmds angegeben wird. Wenn Sie gcloud verwenden, müssen Sie eine Flag-Datei verwenden, um Werte mit komplexen Sonderzeichen festzulegen.

  Standardwerte für dieses Flag:

  
  identified(?:/\*.*?\*/|\s)*?by(?:/\*.*?\*/|\s)*?(?:password)?(?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?\((?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"](?:/\*.*?\*/|\s)*?\)|password(?:/\*.*?\*/|
  \s)*?(?:for(?:/\*.*?\*/|\s)*?\S+?)?(?:/\*.*?\*/|\s)*?=(?:/\*.*?\*/|\s)*?[
  '|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?['|"](?<psw>.*?)
  (?<!\\)['|"]
  
  

  Betrachten Sie die folgenden Beispiele.

  • Ohne cloudsql_mysql_audit_data_masking_regex würde ein Audit-Logeintrag, der einen Befehl zum Erstellen eines Nutzers beschreibt, so aussehen:

    {..."cmd":"create_user","query":"create user user1@'localhost' identified
    by 'pw'"}

  • Bei dem Standardwert cloudsql_mysql_audit_data_masking_regex würde dasselbe Audit-Log so geändert werden:

    {..."cmd":"create_user","query":"create user user1@'localhost' identified by
    '***'"}

  • Wenn Sie cloudsql_mysql_audit_data_masking_regex auf (?<psw>.*) setzen, kann Cloud SQL den gesamten Abfrageinhalt filtern.

    {..."cmd":"create_user","query":"***"}

• cloudsql_mysql_audit_data_masking_cmds

  Durch Kommas getrennte Liste von Befehlen, auf die der Datenmaskierungs-Regex (cloudsql_mysql_audit_data_masking_regex) angewendet wird. Legen Sie einen leeren String ("") fest, um die Filterung zu beenden. Wenn Sie gcloud verwenden, müssen Sie eine Flag-Datei verwenden, um eine durch Kommas getrennte Liste festzulegen. Der Standardwert enthält MySQL-Befehle mit der folgenden Passwortklausel:

  create_user,alter_user,grant,update

• cloudsql_mysql_audit_max_query_length

  Steuert die maximale Länge der Abfrage, die im Audit-Log aufgezeichnet werden soll. Wenn die Details der Abfrage nicht angezeigt werden sollen, können Sie 0 verwenden. Das bedeutet, dass die Abfrage nicht im Audit-Log erfasst wird. Dies spart Speicherplatz für das Log, was zu niedrigeren Kosten führt. -1 bedeutet, dass es keine Einschränkung gibt. Der Standardwert ist -1.

• cloudsql_mysql_audit_log_write_period

  Der Logschreibzeitraum, für den der Autorthread den Inhalt des Zwischenspeichers auf das Laufwerk schreibt, nachdem die Anzahl an Millisekunden verstrichen ist, die Sie für diese Flag-Option festgelegt haben, oder wenn der Zwischenspeicher voll ist. Wenn Sie diese Flag-Option auf 0 setzen, muss der Nutzerthread auf eine Benachrichtigung vom Autorthread warten, dass der Schreibvorgang abgeschlossen ist. Der Standardwert ist 500 (Millisekunden).

        gcloud sql instances patch INSTANCE_NAME /
                   --database-flags FLAG_NAME=FLAG_VALUE
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Datenbankprüfung konfigurieren

Audit-Regeln verwalten

Cloud SQL verwendet eine Reihe von gespeicherten Prozeduren, um Audit-Regeln für Cloud SQL for MySQL-Audit-Plug-ins zu verwalten. Es gibt vier gespeicherte Prozeduren, mit denen Sie Audit-Regeln erstellen, auflisten, aktualisieren und löschen können.

Jede gespeicherte Prozedur gibt zwei Variablen zurück: @outval und @outmsg. Diese Variablen geben den Statuscode bzw. die Fehlermeldung der gespeicherten Prozedur an. Sie können ein Sternchen (*) als Platzhalter verwenden, um nach Nutzer-, Host-, Datenbank- und Tabellennamen zu suchen. Verwenden Sie das Sternchen als Suffix, als Präfix oder für beides. Außerdem können Sie das Platzhalterzeichen % nur für Hosts verwenden. Sie können mit dem Backtick (`) angeben, dass ein String wörtlich verwendet werden soll. Beispielsweise führt `ta*ble` zu einem wörtlichen Abgleich.

Damit die neuen Änderungen wirksam werden, sollten Sie entweder die gespeicherten Prozeduren mit dem Eingabeparameter reload_mode=1 ausführen oder mysql.cloudsql_reload_audit_rule(1) aufrufen, um die neuen Änderungen zu übernehmen.

Audit-Regeln erstellen

Sie können mysql.cloudsql_create_audit_rule verwenden, um eine neue Audit-Regel zu erstellen.

Verwenden Sie die folgende Anweisung, um die Audit-Regel zu erstellen und in einem einzelnen Aufruf neu zu laden:

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',1, @outval,@outmsg);
SELECT @outval, @outmsg;

Verwenden Sie die folgende Anweisung, um die Regel zu erstellen und in einem separaten Aufruf neu zu laden:

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',0, @outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

Mit dem vorherigen Befehl können Sie mehrere Regeln erstellen und dann alle Änderungen gleichzeitig neu laden.

In den folgenden Tabellen sind die Eingabe- und Ausgabeparameter für den vorherigen Befehl aufgeführt.

Für Audit-Regeln gelten die folgenden Einschränkungen:

Audit-Regeln auflisten

Prüfer können mit mysql.cloudsql_list_audit_rule vorhandene Audit-Regeln auflisten.

Verwenden Sie die folgenden Befehle, um die Audit-Regeln 1 und 2 aufzulisten:

CALL mysql.cloudsql_list_audit_rule('1,2',@outval,@outmsg);
SELECT @outval, @outmsg;

Gehen Sie so vor, um alle Audit-Regeln aufzulisten:

CALL mysql.cloudsql_list_audit_rule('*',@outval,@outmsg);
SELECT @outval, @outmsg;

In den folgenden Tabellen sind die Eingabe- und Ausgabeparameter für den vorherigen Befehl aufgeführt.

Audit-Regeln aktualisieren

Sie können mysql.cloudsql_update_audit_rule verwenden, um eine vorhandene Audit-Regel zu aktualisieren.

Verwenden Sie die folgende Anweisung, um die Audit-Regel zu aktualisieren und in einem einzelnen Aufruf neu zu laden:

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',1,@outval,@outmsg);
SELECT @outval, @outmsg;

Möglicherweise möchten Sie mehrere Audit-Regeln in einer Sitzung aktualisieren, bevor Sie die Regeln neu laden. Mit der folgenden gespeicherten Prozedur können Sie Regeln in einem einzigen Schritt aktualisieren und dann in einem späteren Schritt noch neu laden.

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

In den folgenden Tabellen sind die Eingabe- und Ausgabeparameter für den vorherigen Befehl aufgeführt.

Für Audit-Regeln gelten die folgenden Einschränkungen:

Audit-Regeln löschen

Sie können mysql.cloudsql_delete_audit_rule verwenden, um eine vorhandene Audit-Regel zu löschen.

Verwenden Sie die folgende Anweisung, um die Audit-Regel zu löschen und in einem einzelnen Aufruf neu zu laden:

CALL mysql.cloudsql_delete_audit_rule('1,2',1,@outval,@outmsg);
SELECT @outval, @outmsg;

Verwenden Sie die folgende Anweisung, um die Regel zu löschen und in einem separaten Aufruf neu zu laden:

CALL mysql.cloudsql_delete_audit_rule('1,2',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL cloudsql_reload_audit_rule(1);

Mit dem vorherigen Befehl können Sie mehrere Regeln löschen und dann alle Änderungen gleichzeitig neu laden.

In den folgenden Tabellen sind die Eingabe- und Ausgabeparameter für den vorherigen Befehl aufgeführt.

Vorgangsgruppen

Das Cloud SQL for MySQL-Audit-Plug-in unterstützt die Verwendung von Vorgangsgruppen in Regeldefinitionen, um Sammlungen von Aktivitäten zu prüfen. Sie können die folgenden Vorgangsgruppen verwenden, um die Erstellung von Audit-Regeln zu vereinfachen.

Cloud SQL-Datenbank-Audit-Logs ansehen

Datenbank-Audit-Log-Einträge in Cloud Logging ansehen

Wenn Sie sich Datenbank-Audit-Logs ansehen möchten, müssen Sie zuerst Audit-Logs für den Datenzugriff für Ihr Projekt aktiviert haben. Die generierten MySQL-Audit-Logs für eine bestimmte Instanz werden als Audit-Logs zum Datenzugriff an Cloud Logging gesendet. Sie können die generierten MySQL-Datenbank-Audit-Logs über die Log-Explorer-Anwendung aufrufen.

In Log-Explorer können Sie MySQL-Audit-Logs aufrufen. Verwenden Sie dafür die folgende Abfrage, um alle MySQL-Datenbank-Audit-Logs für ein bestimmtes Cloud SQL-Projekt über die erweiterte Filteroberfläche aufzurufen.

Dabei gilt:

• PROJECT_NAME: Der Name des Projekts, für das Sie Audit-Logs aufrufen möchten.

    resource.type="cloudsql_database"
    logName="projects/PROJECT_NAME/logs/cloudaudit.googleapis.com%2Fdata_access"
    protoPayload.request.@type="type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"

Alternativ können Sie den Logfilter cloudaudit.googleapis.com/data_access auswählen.

Audit-Log-Format

Ein Audit-Log enthält die folgenden Felder.

Das folgende Beispiel zeigt einen Audit-Logeintrag.

{
"msgType":"activity",
"status":"unsuccessful",
"date":"2021-11-11T06:16:16.163603Z",
"threadId":"750",
"queryId":"26763",
"user":"root",
"priv_user":"root",
"ip":"",
"host":"localhost",
"errCode":"1146",
"cmd":"select",
"objects":[{"db":"test","name":"t4","obj_type":"TABLE"}],
"query":"select * from test.t4",
"chunkCount":2,
"chunkIndex":2,
"@type":"type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"
}

Datenbankprüfung deaktivieren

Zum Deaktivieren des Cloud SQL for MySQL-Audit-Plug-ins können Sie das Datenbank-Flag cloudsql_mysql_audit auf OFF setzen oder entfernen.

    gcloud sql instances patch INSTANCE_NAME \
               --database-flags cloudsql_mysql_audit=OFF
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Beispiele für Audit-Regeln

1. Alle Aktivitäten für alle Nutzer prüfen:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','B',1,@outval,@outmsg);

2. Alle Aktivitäten für einen einzelnen Nutzer user1 prüfen:

   CALL mysql.cloudsql_create_audit_rule('user1@*','*','*','*','B',1,@outval,@outmsg);

3. Alle Aktivitäten für alle Nutzer prüfen, die mit user beginnen:

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','B',1, @outval,@outmsg);

4. Alle DML-Vorgänge für alle Nutzer prüfen:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','dml','B',1,@outval,@outmsg);

5. Auswahlvorgang für eine spezielle Datenbank db1 prüfen:

   CALL mysql.cloudsql_create_audit_rule('*','db1','*','select','B',1,@outval,@outmsg);

6. Alle Aktivitäten für eine Datenbank mit dem Sonderzeichen db~1 prüfen:

   CALL mysql.cloudsql_create_audit_rule('*','`db~1`','*','*','B',1,@outval,@outmsg);

7. Auswahl- und Löschvorgänge für die Tabelle db1.table1 prüfen:

   CALL mysql.cloudsql_create_audit_rule('*','db1','table1','select,delete','B',1,@outval,@outmsg);

8. Alle erfolgreichen Vorgänge prüfen:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','S',1,@outval,@outmsg);

9. Prüfen Sie nicht alle Aktivitäten für alle Nutzer, die mit user beginnen:

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','E',1, @outval,@outmsg);

Fehlerbehebung

SHOW PLUGINS

CALL mysql.cloudsql_reload_audit_rule(1)

cloudsql_mysql_audit=ON

--database-flags:
general_log: OFF
cloudsql_mysql_audit_max_query_length: '20'
cloudsql_mysql_audit_data_masking_cmds: select,update

gcloud sql instances patch --flags-file=flagfile

USE db_name

SHOW VARIABLES

CALL mysql.cloudsql_reload_audit_rule(1)

mysql.cloudsql_list_audit_rule

SET innodb_lock_wait_timeout=120

Nächste Schritte

• Weitere Informationen zur MySQL-Datenbankprüfung
• Vollständige Liste der Vorgänge für die Datenbankprüfung