Utilizzare il controllo del database MySQL

Questo argomento descrive come attivare e utilizzare il plug-in di controllo di Cloud SQL per MySQL. Per una panoramica, consulta Controllo del database MySQL. Per maggiori informazioni sui plug-in MySQL, consulta Caricamento dei plug-in MySQL.

Prima di iniziare

Audit log degli accessi ai dati

Abilita e configura gli audit log di accesso ai dati. Consulta la sezione Configurare gli audit log di accesso ai dati.

Privilegi richiesti per gli utenti di controllo

Per poterle eseguire, devi disporre dei privilegi EXECUTE sulle procedure archiviate di controllo. Se un amministratore deve modificare i privilegi di accesso di un revisore alle procedure archiviate di controllo, deve utilizzare il comando GRANT o REVOKE nel client mysql. Per informazioni dettagliate sui privilegi utente, consulta Privilegi utente MySQL. Ad esempio, se un amministratore vuole concedere l'accesso a un revisore denominato user per gestire le regole di controllo, può concedere i privilegi utilizzando la seguente dichiarazione:

CREATE USER 'user'@'%' IDENTIFIED BY 'password';
GRANT EXECUTE ON PROCEDURE mysql.cloudsql_list_audit_rule TO 'user'@'%';

Se in un secondo momento l'amministratore volesse revocare l'accesso all'auditor, potrebbe revocare i privilegi utilizzando la seguente dichiarazione:

REVOKE ALL ON PROCEDURE mysql.cloudql_list_audit_rule FROM 'user'@'%';

Per impostazione predefinita, gli utenti creati utilizzando Cloud SQL (tranne gli utenti IAM) sono amministratori che dispongono di tutti i privilegi tranne FILE e SUPER, inclusi tutti i privilegi per le procedure archiviate di controllo. Per impostazione predefinita, gli utenti del database IAM non dispongono di privilegi.

Attivare il plug-in di audit Cloud SQL per MySQL

Il plug-in di audit Cloud SQL per MySQL (cloudsql_mysql_audit) controlla il comportamento di controllo per una determinata istanza di database. Per utilizzare il plug-in, devi prima attivarlo nell'istanza Cloud SQL.

Per attivare il plug-in cloudsql_mysql_audit, utilizza una delle seguenti opzioni:

• --cloudsql_mysql_audit=ON

  Indica al server di attivare il plug-in. Se l'inizializzazione del plug-in non riesce, il server viene eseguito con il plug-in disattivato.

• --cloudsql_mysql_audit=FORCE

  Indica al server di attivare il plug-in, ma se l'inizializzazione del plug-in non riesce, il server non si avvia. In altre parole, questa opzione forza il server a funzionare con il plug-in attivato o non attivato.

• --cloudsql_mysql_audit=FORCE_PLUS_PERMANENT

  Come FORCE, ma impedisce anche lo scollegamento del plug-in in fase di esecuzione. Se un utente tenta di scaricare il plug-in con UNINSTALL PLUGIN, si verifica un errore.

Gli stati di attivazione dei plug-in sono visibili nella colonna PLUGIN_STATUS della tabella INFORMATION_SCHEMA.PLUGINS.

gcloud sql instances patch INSTANCE_NAME \
           --database-flags cloudsql_mysql_audit=ON

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "ON"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Impostazioni del plug-in di audit Cloud SQL per MySQL

Puoi ottimizzare il comportamento del plug-in di audit Cloud SQL per MySQL utilizzando i flag riportati di seguito. Tutti i flag possono essere modificati senza riavviare il database. Per capire come gestire i flag, consulta Configurare i flag di database.

• cloudsql_mysql_audit_data_masking_regex

  Un'espressione regolare utilizzata per il mascheramento dei dati conforme alle Espressioni regolari compatibili con Perl (PCRE).

  Per impostazione predefinita, nel log di controllo in uscita, le password utente (<psw>) vengono sostituite da una maschera di password di ***.

  Le espressioni regolari vengono applicate solo alle istruzioni con un tipo di comando specificato utilizzando cloudsql_mysql_audit_data_masking_cmds. Quando utilizzi gcloud, devi utilizzare un file di flag per impostare valori con caratteri speciali complessi.

  Valori predefiniti per questo flag:

  
  identified(?:/\*.*?\*/|\s)*?by(?:/\*.*?\*/|\s)*?(?:password)?(?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?\((?:/\*.*?\*/|
  \s)*?['|"](?<psw>.*?)(?<!\\)['|"](?:/\*.*?\*/|\s)*?\)|password(?:/\*.*?\*/|
  \s)*?(?:for(?:/\*.*?\*/|\s)*?\S+?)?(?:/\*.*?\*/|\s)*?=(?:/\*.*?\*/|\s)*?[
  '|"](?<psw>.*?)(?<!\\)['|"]|password(?:/\*.*?\*/|\s)*?['|"](?<psw>.*?)
  (?<!\\)['|"]
  
  

  Vedi i seguenti esempi.

  • Senza cloudsql_mysql_audit_data_masking_regex, una voce di log di controllo che descrive un comando create user viene visualizzata come segue:

    {..."cmd":"create_user","query":"create user user1@'localhost' identified
    by 'pw'"}

  • Con il valore predefinito cloudsql_mysql_audit_data_masking_regex, lo stesso log di controllo viene modificato in:

    {..."cmd":"create_user","query":"create user user1@'localhost' identified by
    '***'"}

  • Se imposti cloudsql_mysql_audit_data_masking_regex su (?<psw>.*), Cloud SQL può filtrare tutti i contenuti della query.

    {..."cmd":"create_user","query":"***"}

• cloudsql_mysql_audit_data_masking_cmds

  Elenco separato da virgole di comandi a cui viene applicata la regex di mascheramento dei dati (cloudsql_mysql_audit_data_masking_regex). Imposta una stringa vuota ("") per interrompere il filtro. Quando utilizzi gcloud, devi utilizzare un file di flag per impostare un elenco separato da virgole. Il valore predefinito include i comandi MySQL con la seguente clausola della password:

  create_user,alter_user,grant,update

• cloudsql_mysql_audit_max_query_length

  Controlla la lunghezza massima della query da registrare nel log di controllo. Se non hai bisogno di visualizzare i dettagli della query, puoi utilizzare 0, che indica che la query non viene registrata nel log di controllo. In questo modo si risparmia spazio di archiviazione per il log, con un conseguente calo dei costi. -1 significa nessuna limitazione. Il valore predefinito è -1.

• cloudsql_mysql_audit_log_write_period

  Il periodo di scrittura del log, per il quale il thread di scrittura scrive i contenuti del buffer su disco dopo aver raggiunto il numero di millisecondi impostato per questa opzione di flag o quando il buffer è pieno. Se imposti questa opzione di flag su 0, il thread utente è costretto ad attendere una notifica dal thread di scrittura che la scrittura è stata completata. Il valore predefinito è 500 (millisecondi).

        gcloud sql instances patch INSTANCE_NAME /
                   --database-flags FLAG_NAME=FLAG_VALUE
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "flag_name",
        "value": "flag_value"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Configurare il controllo dei database

Gestire le regole di controllo

Cloud SQL utilizza un insieme di stored procedure per gestire le regole di controllo del plug-in di controllo Cloud SQL per MySQL. Esistono quattro procedure memorizzate che puoi utilizzare per creare, elencare, aggiornare ed eliminare le regole di controllo.

Ogni procedura memorizzata restituisce due variabili: @outval e @outmsg. Queste variabili indicano rispettivamente il codice di stato e il messaggio di errore della procedura memorizzata. Puoi utilizzare un asterisco (*) come carattere jolly per cercare nomi di utenti, host, database e tabelle. Utilizza l'asterisco come suffisso, prefisso o entrambi. Inoltre, puoi utilizzare il carattere jolly % solo per gli host. Puoi utilizzare il carattere backtick (`) per indicare che una stringa deve essere utilizzata in modo letterale. Ad esempio, `ta*ble` corrisponde letteralmente.

Per applicare le nuove modifiche, devi eseguire le procedure archiviate con il parametro di input reload_mode=1 o chiamare mysql.cloudsql_reload_audit_rule(1).

Creare regole di controllo

Puoi utilizzare mysql.cloudsql_create_audit_rule per creare una nuova regola di controllo.

Per creare la regola di controllo e ricaricarla in una chiamata, utilizza la seguente istruzione:

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',1, @outval,@outmsg);
SELECT @outval, @outmsg;

Per creare la regola e ricaricarla in una chiamata separata, utilizza la seguente dichiarazione:

CALL mysql.cloudsql_create_audit_rule('user@host','db','obj','ops','op_result',0, @outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

Il comando precedente consente di creare più regole e poi ricaricare tutte le modifiche contemporaneamente.

Le tabelle seguenti mostrano i parametri di input e output per il comando precedente.

Le regole di controllo presentano i seguenti limiti:

Elenca le regole di controllo

Gli auditor possono utilizzare mysql.cloudsql_list_audit_rule per elencare le regole di controllo esistenti.

Per elencare le regole di controllo 1 e 2, utilizza i seguenti comandi:

CALL mysql.cloudsql_list_audit_rule('1,2',@outval,@outmsg);
SELECT @outval, @outmsg;

Per elencare tutte le regole di controllo:

CALL mysql.cloudsql_list_audit_rule('*',@outval,@outmsg);
SELECT @outval, @outmsg;

Le tabelle seguenti mostrano i parametri di input e output per il comando precedente.

Aggiorna le regole di controllo

Puoi utilizzare mysql.cloudsql_update_audit_rule per aggiornare una regola di controllo esistente.

Per aggiornare la regola di controllo e ricaricarla in una chiamata, utilizza la seguente istruzione:

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',1,@outval,@outmsg);
SELECT @outval, @outmsg;

Ti consigliamo di aggiornare più regole di controllo in una sessione prima di ricaricarle. Puoi utilizzare la seguente procedura memorizzata per aggiornare le regole in un unico passaggio e poi ricaricarle in un passaggio successivo.

CALL mysql.cloudsql_update_audit_rule(1,'user@host','db','obj','ops','op_result',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL mysql.cloudsql_reload_audit_rule(1);

Le tabelle seguenti mostrano i parametri di input e output per il comando precedente.

Le regole di controllo presentano i seguenti limiti:

Eliminare le regole di controllo

Puoi utilizzare mysql.cloudsql_delete_audit_rule per eliminare una regola di controllo esistente.

Per eliminare la regola di controllo e ricaricarla in una sola chiamata, utilizza la seguente dichiarazione:

CALL mysql.cloudsql_delete_audit_rule('1,2',1,@outval,@outmsg);
SELECT @outval, @outmsg;

Per eliminare la regola e ricaricarla in una chiamata separata, utilizza la seguente dichiarazione:

CALL mysql.cloudsql_delete_audit_rule('1,2',0,@outval,@outmsg);
SELECT @outval, @outmsg;
CALL cloudsql_reload_audit_rule(1);

Il comando precedente consente di eliminare più regole e ricaricare tutte le modifiche contemporaneamente.

Le tabelle seguenti mostrano i parametri di input e output per il comando precedente.

Gruppi di operazioni

Il plug-in di audit Cloud SQL per MySQL supporta l'utilizzo di gruppi di operazioni nelle definizioni delle regole per controllare raccolte di attività. Puoi utilizzare i seguenti gruppi di operazioni per semplificare la creazione delle regole di controllo.

Visualizzare i log di controllo del database Cloud SQL

Visualizzare i record degli audit log del database in Cloud Logging

Per visualizzare i log di controllo del database, assicurati innanzitutto di aver abilitato i log di controllo dell'accesso ai dati per il tuo progetto. Gli audit log MySQL generati per una determinata istanza vengono inviati a Cloud Logging come audit log di accesso ai dati. Puoi visualizzare gli audit log del database MySQL generati tramite l'applicazione Logs Explorer.

In Esplora log, puoi visualizzare i log di controllo MySQL utilizzando la seguente query per mostrare tutti i log di controllo del database MySQL per un determinato progetto Cloud SQL tramite l'interfaccia Filtro avanzato.

Sostituisci quanto segue:

• PROJECT_NAME: il nome del progetto per cui vuoi i log di controllo.

    resource.type="cloudsql_database"
    logName="projects/PROJECT_NAME/logs/cloudaudit.googleapis.com%2Fdata_access"
    protoPayload.request.@type="type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"

In alternativa, puoi selezionare il filtro log cloudaudit.googleapis.com/data_access.

Formato degli audit log

Un log di controllo contiene i seguenti campi.

Di seguito è riportato un esempio di voce di log di controllo.

{
"msgType":"activity",
"status":"unsuccessful",
"date":"2021-11-11T06:16:16.163603Z",
"threadId":"750",
"queryId":"26763",
"user":"root",
"priv_user":"root",
"ip":"",
"host":"localhost",
"errCode":"1146",
"cmd":"select",
"objects":[{"db":"test","name":"t4","obj_type":"TABLE"}],
"query":"select * from test.t4",
"chunkCount":2,
"chunkIndex":2,
"@type":"type.googleapis.com/google.cloud.sql.audit.v1.MysqlAuditEntry"
}

Disattivare il controllo dei database

Per disattivare il plug-in di controllo di Cloud SQL per MySQL, puoi impostare il flag di database cloudsql_mysql_audit su OFF o rimuoverlo.

    gcloud sql instances patch INSTANCE_NAME \
               --database-flags cloudsql_mysql_audit=OFF
    

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

PATCH https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id

{
  "settings":
  {
    "databaseFlags":
    [
      {
        "name": "cloudsql_mysql_audit",
        "value": "OFF"
      }
    ]
  }
}

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/project-id/instances/instance-id" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Esempi di regole di controllo

1. Controlla tutte le attività per tutti gli utenti:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','B',1,@outval,@outmsg);

2. Controlla tutte le attività di un singolo utente user1:

   CALL mysql.cloudsql_create_audit_rule('user1@*','*','*','*','B',1,@outval,@outmsg);

3. Controlla tutte le attività per tutti gli utenti che iniziano con user:

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','B',1, @outval,@outmsg);

4. Controlla tutte le operazioni DML per tutti gli utenti:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','dml','B',1,@outval,@outmsg);

5. Controlla l'operazione di selezione per un database speciale db1:

   CALL mysql.cloudsql_create_audit_rule('*','db1','*','select','B',1,@outval,@outmsg);

6. Controlla tutte le attività per un database con il carattere speciale db~1:

   CALL mysql.cloudsql_create_audit_rule('*','`db~1`','*','*','B',1,@outval,@outmsg);

7. Controlla le operazioni di selezione ed eliminazione per la tabella db1.table1:

   CALL mysql.cloudsql_create_audit_rule('*','db1','table1','select,delete','B',1,@outval,@outmsg);

8. Controlla tutte le operazioni riuscite:

   CALL mysql.cloudsql_create_audit_rule('*','*','*','*','S',1,@outval,@outmsg);

9. Non controllare tutte le attività per tutti gli utenti che iniziano con user:

   CALL mysql.cloudsql_create_audit_rule('user*@*','*','*','*','E',1, @outval,@outmsg);

Risoluzione dei problemi

SHOW PLUGINS

CALL mysql.cloudsql_reload_audit_rule(1)

cloudsql_mysql_audit=ON

--database-flags:
general_log: OFF
cloudsql_mysql_audit_max_query_length: '20'
cloudsql_mysql_audit_data_masking_cmds: select,update

gcloud sql instances patch --flags-file=flagfile

USE db_name

SHOW VARIABLES

CALL mysql.cloudsql_reload_audit_rule(1)

mysql.cloudsql_list_audit_rule

SET innodb_lock_wait_timeout=120

Passaggi successivi

• Scopri di più sull'audit del database MySQL.
• Consulta l'elenco completo delle operazioni per il controllo del database.