Utiliser l'audit de base de données MySQL

Cet article explique comment activer et utiliser le plug-in d'audit Cloud SQL pour MySQL. Pour une présentation générale, consultez la page Audit de la base de données MySQL. Pour en savoir plus sur les plug-ins MySQL, consultez la page Chargement des plug-ins MySQL.

Avant de commencer

Journaux d'audit pour l'accès aux données

Activez et configurez les journaux d'audit pour l'accès aux données. Consultez la section Configurer les journaux d'audit pour l'accès aux données.

Droits requis pour les utilisateurs chargés de l'audit

Vous devez disposer des droits EXECUTE sur les procédures d'audit stockées pour les exécuter. Si un administrateur doit modifier les droits d'un auditeur pour l'accès aux procédures d'audit stockées, il doit utiliser les commandes GRANT ou REVOKE dans le client mysql. Pour en savoir plus sur les droits des utilisateurs, consultez la page Droits d'utilisateur de MySQL. Par exemple, si un administrateur souhaite accorder à un auditeur nommé user l'accès permettant de gérer les règles d'audit, il peut accorder les droits à l'aide de l'instruction suivante :

CREATE USER 'user'@'%' IDENTIFIED BY 'password';
GRANT EXECUTE ON PROCEDURE mysql.cloudsql_list_audit_rule TO 'user'@'%';

Si, par la suite, cet administrateur souhaite révoquer l'accès de l'auditeur, il peut révoquer les droits à l'aide de l'instruction suivante :

REVOKE ALL ON PROCEDURE mysql.cloudql_list_audit_rule FROM 'user'@'%';

Par défaut, les utilisateurs créés avec Cloud SQL (à l'exception des utilisateurs IAM) sont des administrateurs disposant de tous les droits, à l'exception de FILE et de SUPER, mais incluant tous les droits sur les procédures d'audit stockées. Par défaut, les utilisateurs de base de données IAM ne disposent d'aucun droit.

Activer le plug-in d'audit Cloud SQL pour MySQL

Le plug-in d'audit Cloud SQL pour MySQL (cloudsql_mysql_audit) contrôle le comportement d'audit pour une instance de base de données spécifique. Pour utiliser le plug-in, vous devez d'abord l'activer sur l'instance Cloud SQL.

Pour activer le plug-in cloudsql_mysql_audit, utilisez l'une des options suivantes :

• --cloudsql_mysql_audit=ON

  Indique au serveur d'activer le plug-in. Si l'initialisation du plug-in échoue, le serveur s'exécute avec le plug-in désactivé.

• --cloudsql_mysql_audit=FORCE

  Indique au serveur d'activer le plug-in, mais si l'initialisation du plug-in échoue, le serveur ne démarre pas. En d'autres termes, cette option impose au serveur de s'exécuter avec le plug-in activé ou pas du tout.

• --cloudsql_mysql_audit=FORCE_PLUS_PERMANENT

  Semblable à FORCE, mais empêche également le déchargement du plug-in lors de l'exécution. Si un utilisateur tente de décharger le plug-in avec UNINSTALL PLUGIN, une erreur se produit.

Les états d'activation du plug-in sont visibles dans la colonne PLUGIN_STATUS de la table INFORMATION_SCHEMA.PLUGINS.

gcloud sql instances patch INSTANCE_NAME \
           --database-flags cloudsql_mysql_audit=ON

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Paramètres du plug-in d'audit Cloud SQL pour MySQL

Vous pouvez affiner le comportement du plug-in d'audit Cloud SQL pour MySQL à l'aide des options ci-dessous. Toutes les options peuvent être modifiées sans redémarrer la base de données. Pour comprendre comment gérer les options, consultez la page Configurer des options de base de données.

• cloudsql_mysql_audit_data_masking_regex

  Une expression régulière utilisée pour le masquage de données et conforme aux expressions régulières compatibles avec celles du langage Perl.

  Par défaut, dans le journal d'audit de sortie, les mots de passe utilisateur (<psw>) sont remplacés par un masque de mot de passe "***".

  L'expression régulière n'est appliquée qu'aux instructions dont le type de commande est spécifié à l'aide de cloudsql_mysql_audit_data_masking_cmds. Lorsque vous utilisez gcloud, vous devez utiliser un fichier d'options pour définir des valeurs comportant des caractères spéciaux complexes.

  Valeurs par défaut de cette option :

  
  identified(?:/\*.*?\*/|\s)*?by(?:/\*.*?\*/|\s)*?(?:password)?(?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?\((?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"](?:/\*.*?\*/|\s)*?\)|password(?:/\*.*?\*/|
  \s)*?(?:for(?:/\*.*?\*/|\s)*?\S+?)?(?:/\*.*?\*/|\s)*?=(?:/\*.*?\*/|\s)*?[
  '|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?['|"](?<psw>.*?)
  (?<!\\)['|"]
  
  

  Consultez les exemples suivants.

  • Sans expression régulière cloudsql_mysql_audit_data_masking_regex, une entrée de journal d'audit décrivant une commande de création d'utilisateur s'affiche comme suit :

    {..."cmd":"create_user","query":"create user user1@'localhost' identified
    by 'pw'"}

  • Avec la valeur par défaut cloudsql_mysql_audit_data_masking_regex, la même entrée de journal d'audit apparaît comme :

    {..."cmd":"create_user","query":"create user user1@'localhost' identified by
    '***'"}

  • Si vous définissez cloudsql_mysql_audit_data_masking_regex sur (?<psw>.*), Cloud SQL peut filtrer l'ensemble du contenu de la requête.

    {..."cmd":"create_user","query":"***"}

• cloudsql_mysql_audit_data_masking_cmds

  Liste des commandes séparées par des virgules auxquelles l'expression régulière de masquage de données (cloudsql_mysql_audit_data_masking_regex) est appliquée. Définissez une chaîne vide ("") pour arrêter le filtrage. Lorsque vous utilisez gcloud, vous devez utiliser un fichier d'options pour définir une liste d'éléments séparés par des virgules. La valeur par défaut inclut les commandes MySQL avec la clause de mot de passe suivante :

  create_user,alter_user,grant,update

• cloudsql_mysql_audit_max_query_length

  Contrôle la longueur maximale des requêtes à enregistrer dans le journal d'audit. Si vous n'avez pas besoin de voir les détails de la requête, vous pouvez utiliser 0, ce qui signifie que la requête n'est pas enregistrée dans le journal d'audit. Cela permet de réduire l'espace de stockage utilisé par le journal et de réduire les coûts. -1 signifie qu'il n'y a aucune limitation. La valeur par défaut est -1.

• cloudsql_mysql_audit_log_write_period

  Période d'écriture du journal : le thread d'écriture écrit le contenu du tampon sur le disque une fois que le nombre de millisecondes défini pour cette option est atteint ou lorsque le tampon est plein. Si vous définissez cette option sur 0, le thread utilisateur est contraint d'attendre une notification du thread d'écriture indiquant que l'écriture est terminée. La valeur par défaut est 500 (millisecondes).

        gcloud sql instances patch INSTANCE_NAME /
                   --database-flags FLAG_NAME=FLAG_VALUE
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Configurer l'audit de base de données

Gérer les règles d'audit

Cloud SQL utilise un ensemble de procédures stockées pour gérer les règles d'audit du plug-in d'audit Cloud SQL pour MySQL. Quatre procédures stockées vous permettent de créer, répertorier, mettre à jour et supprimer des règles d'audit.

Chaque procédure stockée renvoie deux variables : @outval et @outmsg. Ces variables indiquent respectivement le code d'état et le message d'erreur de la procédure stockée. Vous pouvez utiliser un astérisque (*) comme caractère générique pour rechercher des noms d'utilisateur, d'hôte, de base de données et de table. Utilisez l'astérisque comme suffixe, préfixe ou les deux. En outre, vous pouvez utiliser le caractère générique % uniquement pour les hôtes. Vous pouvez utiliser l'accent grave (`) pour indiquer qu'une chaîne doit être utilisée de manière littérale. Par exemple, `ta*ble` doit correspondre littéralement.

Pour que les modifications prennent effet, vous devez soit exécuter les procédures stockées avec le paramètre d'entrée reload_mode=1, soit appeler mysql.cloudsql_reload_audit_rule(1).

Créer des règles d'audit

Vous pouvez utiliser mysql.cloudsql_create_audit_rule pour créer une règle d'audit.

Pour créer la règle d'audit et la charger en un seul appel, utilisez l'instruction suivante :

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',1, @outval,@outmsg);
SELECT @outval, @outmsg;

Pour créer la règle et la charger dans des appels distincts, utilisez l'instruction suivante :

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',0, @outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

La commande précédente vous permet de créer plusieurs règles, puis de charger simultanément toutes les modifications.

Les tableaux suivants présentent les paramètres d'entrée et de sortie de la commande précédente.

Les règles d'audit présentent les limites suivantes :

Répertorier les règles d'audit

Les auditeurs peuvent utiliser mysql.cloudsql_list_audit_rule pour répertorier les règles d'audit existantes.

Pour répertorier les règles d'audit 1 et 2, utilisez les commandes suivantes :

CALL mysql.cloudsql_list_audit_rule('1,2',@outval,@outmsg);
SELECT @outval, @outmsg;

Pour répertorier toutes les règles d'audit, procédez comme suit :

CALL mysql.cloudsql_list_audit_rule('*',@outval,@outmsg);
SELECT @outval, @outmsg;

Les tableaux suivants présentent les paramètres d'entrée et de sortie de la commande précédente.

Mettre à jour les règles d'audit

Vous pouvez utiliser mysql.cloudsql_update_audit_rule pour mettre à jour une règle d'audit existante.

Pour mettre à jour la règle d'audit et la recharger en un seul appel, utilisez l'instruction suivante :

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',1,@outval,@outmsg);
SELECT @outval, @outmsg;

Vous pouvez mettre à jour plusieurs règles d'audit au cours d'une session avant de les recharger. Vous pouvez utiliser la procédure stockée suivante pour mettre à jour des règles au cours d'une étape, puis les recharger lors d'une étape ultérieure.

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

Les tableaux suivants présentent les paramètres d'entrée et de sortie de la commande précédente.

Les règles d'audit présentent les limites suivantes :

Supprimer des règles d'audit

Vous pouvez utiliser la commande mysql.cloudsql_delete_audit_rule pour supprimer une règle d'audit existante.

Pour supprimer la règle d'audit et la recharger en un seul appel, utilisez l'instruction suivante :

CALL mysql.cloudsql_delete_audit_rule('1,2',1,@outval,@outmsg);
SELECT @outval, @outmsg;

Pour supprimer la règle et la recharger charger dans des appels distincts, utilisez l'instruction suivante :

CALL mysql.cloudsql_delete_audit_rule('1,2',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL cloudsql_reload_audit_rule(1);

La commande précédente vous permet de supprimer plusieurs règles, puis de recharger simultanément toutes les modifications.

Les tableaux suivants présentent les paramètres d'entrée et de sortie de la commande précédente.

Groupes d'opérations

Le plug-in d'audit Cloud SQL pour MySQL permet d'utiliser des groupes d'opérations dans les définitions de règles pour auditer des collections d'activités. Vous pouvez utiliser les groupes d'opérations suivants pour simplifier la création de règles d'audit.

Afficher les journaux d'audit de base de données Cloud SQL

Afficher les enregistrements des journaux d'audit de base de données dans Cloud Logging

Pour afficher les journaux d'audit de base de données, commencez par vous assurer que vous avez activé les journaux d'audit pour l'accès aux données dans votre projet. Les journaux d'audit MySQL générés pour une instance donnée sont envoyés à Cloud Logging en tant que journaux d'audit pour l'accès aux données. Vous pouvez afficher les journaux d'audit générés pour la base de données MySQL via l'application Explorateur de journaux.

Dans l'explorateur de journaux, vous pouvez afficher les journaux d'audit MySQL à l'aide de la requête suivante. Elle affiche tous les journaux d'audit de base de données MySQL d'un projet Cloud SQL donné via l'interface de filtrage avancé.

Remplacez les éléments suivants :

• PROJECT_NAME : nom du projet pour lequel vous souhaitez obtenir des journaux d'audit.

    resource.type="cloudsql_database"
    logName="projects/PROJECT_NAME/logs/cloudaudit.googleapis.com%2Fdata_access"
    protoPayload.request.@type="type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"

Vous pouvez également sélectionner le filtre de journal cloudaudit.googleapis.com/data_access.

Format des journaux d'audit

Un journal d'audit comporte les champs suivants.

Voici un exemple d'entrée de journal d'audit.

{
"msgType":"activity",
"status":"unsuccessful",
"date":"2021-11-11T06:16:16.163603Z",
"threadId":"750",
"queryId":"26763",
"user":"root",
"priv_user":"root",
"ip":"",
"host":"localhost",
"errCode":"1146",
"cmd":"select",
"objects":[{"db":"test","name":"t4","obj_type":"TABLE"}],
"query":"select * from test.t4",
"chunkCount":2,
"chunkIndex":2,
"@type":"type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"
}

Désactiver l'audit de base de données

Pour désactiver le plug-in d'audit Cloud SQL pour MySQL, définissez l'option de base de données cloudsql_mysql_audit sur OFF ou supprimez-la.

    gcloud sql instances patch INSTANCE_NAME \
               --database-flags cloudsql_mysql_audit=OFF
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Exemples de règles d'audit

1. Auditer toutes les activités pour tous les utilisateurs :

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','B',1,@outval,@outmsg);

2. Auditer toutes les activités d'un seul utilisateur user1 :

   CALL mysql.cloudsql_create_audit_rule('user1@*','*','*','*','B',1,@outval,@outmsg);

3. Auditer toutes les activités de tous les utilisateurs dont le nom commence par user :

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','B',1, @outval,@outmsg);

4. Auditer toutes les opérations LMD pour tous les utilisateurs :

   CALL mysql.cloudsql_create_audit_rule('*','*','*','dml','B',1,@outval,@outmsg);

5. Auditer l'opération "select" pour une base de données particulière db1 :

   CALL mysql.cloudsql_create_audit_rule('*','db1','*','select','B',1,@outval,@outmsg);

6. Auditer toutes les activités d'une base de données comportant le caractère spécial db~1 :

   CALL mysql.cloudsql_create_audit_rule('*','`db~1`','*','*','B',1,@outval,@outmsg);

7. Auditer les opérations "select" et "delete" pour la table db1.table1 :

   CALL mysql.cloudsql_create_audit_rule('*','db1','table1','select,delete','B',1,@outval,@outmsg);

8. Auditer toutes les opérations ayant réussi :

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','S',1,@outval,@outmsg);

9. Ne pas auditer toutes les activités de tous les utilisateurs dont le nom commence par user:

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','E',1, @outval,@outmsg);

Résoudre les problèmes

SHOW PLUGINS

CALL mysql.cloudsql_reload_audit_rule(1)

cloudsql_mysql_audit=ON

--database-flags:
general_log: OFF
cloudsql_mysql_audit_max_query_length: '20'
cloudsql_mysql_audit_data_masking_cmds: select,update

gcloud sql instances patch --flags-file=flagfile

USE db_name

SHOW VARIABLES

CALL mysql.cloudsql_reload_audit_rule(1)

mysql.cloudsql_list_audit_rule

SET innodb_lock_wait_timeout=120

Étapes suivantes

• En savoir plus sur l'audit de base de données MySQL.
• Consultez la liste complète des opérations pour l'audit de base de données.