数据库活动流的 databaseActivityEventList JSON 数组 - Amazon Aurora
Aurora PostgreSQL 的 databaseActivityEventList 字段Aurora MySQL 的 databaseActivityEventList 字段

数据库活动流的 databaseActivityEventList JSON 数组

审核日志负载是解密的 databaseActivityEventList JSON 数组。以下表列表按字母顺序列出了审计日志的解密 DatabaseActivityEventList 数组中每个活动事件的字段。这些字段会因您使用的是 Aurora PostgreSQL 还是 Aurora MySQL 而有所不同。请参阅适用于您的数据库引擎的表。

重要

事件结构可能会发生变化。Aurora 可能会将新字段添加到未来的活动事件中。在解析 JSON 数据的应用程序中，请确保您的代码可以忽略未知字段名称或对其采取适当操作。

Aurora PostgreSQL 的 databaseActivityEventList 字段

以下是 Aurora PostgreSQL 的 databaseActivityEventList 字段。

字段 数据类型 描述
class 字符串

活动事件的类。Aurora PostgreSQL 的有效值如下所示：

  • ALL

  • CONNECT – 连接或断开连接事件。

  • DDL – 未包含在 ROLE 类的语句列表中的 DDL 语句。

  • FUNCTION – 函数调用或 DO 块。

  • MISC – 其他命令，例如 DISCARD、FETCH、CHECKPOINT 或 VACUUM。

  • NONE

  • READ – SELECT 或 COPY 语句（当源为关系或查询时）。

  • ROLE – 与角色或权限关联的语句，包括 GRANT、REVOKE 和 CREATE/ALTER/DROP ROLE。

  • WRITE – INSERT、UPDATE、DELETE、TRUNCATE 或 COPY 语句（当目标为关系时）。
clientApplication 字符串 客户端报告的其用于连接的应用程序。由于客户端不必提供此信息，因此值可以为 null。
command 字符串 不带任何命令详细信息的 SQL 命令的名称。
commandText 字符串

用户传入的实际 SQL 语句。对于 Aurora PostgreSQL，该值与原始 SQL 语句相同。此字段用于除连接或断开连接记录之外的所有类型的记录，在这种情况下，该值为 null。

重要

每个语句的完整 SQL 文本在活动流审核日志中可见，包括任何敏感数据。但是，如果 Aurora 可以从上下文中确定数据库用户密码，则会对该密码进行修订，如下面的 SQL 语句所示。

ALTER ROLE role-name WITH password
databaseName 字符串 用户连接到的数据库。
dbProtocol 字符串 数据库协议，例如 Postgres 3.0。
dbUserName 字符串 客户端对其进行身份验证的数据库用户。
errorMessage

（仅版本 1.1 数据库活动记录）

 字符串

如果出现任何错误，则使用数据库服务器生成的错误消息填充此字段。对于未导致错误的普通语句，errorMessage 值为 null。

错误定义为生成客户端可见 PostgreSQL 错误日志事件（其严重性级别为 ERROR 或更高）的任何活动。有关更多信息，请参阅 PostgreSQL 消息严重性级别。例如，语法错误和查询取消会生成错误消息。

内部 PostgreSQL 服务器错误（例如后台检查指针进程错误）不会生成错误消息。但是，无论如何设置日志严重性级别，此类事件的记录仍会发出。这样可防止攻击者关闭日志记录以尝试避开检测。

另请参阅 exitCode 字段。
exitCode int 用于会话退出记录的值。在干净的出口，这包含退出代码。在某些故障场景中，无法始终获得退出代码。例如，如果 PostgreSQL 执行 exit() 或操作者执行 kill -9 等命令。

如果存在任何错误，则 exitCode 字段将显示 SQL 错误代码 SQLSTATE，如 PostgreSQL 错误代码中所列。

另请参阅 errorMessage 字段。
logTime 字符串 审核代码路径中记录的时间戳。这表示 SQL 语句执行结束时间。另请参阅 startTime 字段。
netProtocol 字符串 网络通信协议。
objectName 字符串 数据库对象的名称（如果正在对一个数据库对象运行 SQL 语句）。此字段仅在对数据库对象运行 SQL 语句时使用。如果未对一个对象运行 SQL 语句，则此值为 null。
objectType 字符串 数据库对象类型，例如表、索引、视图等。此字段仅在对数据库对象运行 SQL 语句时使用。如果未对一个对象运行 SQL 语句，则此值为 null。包括下列有效值：

  • COMPOSITE TYPE

  • FOREIGN TABLE

  • FUNCTION

  • INDEX

  • MATERIALIZED VIEW

  • SEQUENCE

  • TABLE

  • TOAST TABLE

  • VIEW

  • UNKNOWN
paramList 字符串 传递给 SQL 语句的逗号分隔的参数数组。如果 SQL 语句没有参数，则此值为空数组。
pid int 为向客户端连接提供服务而分配的后端进程的进程 ID。
remoteHost 字符串 客户端 IP 地址或主机名。对于 Aurora PostgreSQL，使用哪一个取决于数据库的 log_hostname 参数设置。remoteHost 值还包括指示活动来自 rdsadmin 用户的 [local] 和 localhost。
remotePort 字符串 客户端的端口号。
rowCount int SQL 语句返回的行数。例如，如果 SELECT 语句返回 10 行，则 rowCount 为 10。对于 INSERT 或 UPDATE 语句，则 rowCount 为 0。
serverHost 字符串 数据库服务器主机 IP 地址。serverHost 值还包括指示活动来自 rdsadmin 用户的 [local] 和 localhost。
serverType 字符串 数据库服务器类型，例如 PostgreSQL。
serverVersion 字符串 数据库服务器版本，例如对于 Aurora PostgreSQL 为 2.3.1。
serviceName 字符串 服务名称，例如 Amazon Aurora PostgreSQL-Compatible edition。
sessionId int 伪唯一会话标识符。
sessionId int 伪唯一会话标识符。
startTime

（仅版本 1.1 数据库活动记录）

 字符串

SQL 语句开始执行的时间。

要计算 SQL 语句的近似执行时间，请使用 logTime - startTime。另请参阅 logTime 字段。
statementId int 客户端的 SQL 语句的标识符。计数器处于会话级别，并随客户端输入的每个 SQL 语句递增。
substatementId int SQL 子语句的标识符。此值计算 statementId 字段标识的每个 SQL 语句的包含的子语句。
type 字符串 事件类型。有效值为 record 或 heartbeat。

Aurora MySQL 的 databaseActivityEventList 字段

以下是 Aurora MySQL 的 databaseActivityEventList 字段。

字段 数据类型 描述
class 字符串

活动事件的类。

Aurora MySQL 的有效值如下所示：

  • MAIN – 表示 SQL 语句的主事件。

  • AUX – 包含其他详细信息的补充事件。例如，重命名对象的语句可能具有反映新名称的类为 AUX 的事件。

    要查找对应于同一语句的 MAIN 和 AUX 事件，请检查具有相同的 pid 字段值和 statementId 字段值的不同事件。
clientApplication 字符串 客户端报告的其用于连接的应用程序。由于客户端不必提供此信息，因此值可以为 null。
command 字符串

SQL 语句的常规类别。此字段的值取决于 class 的值。

class 为 MAIN 时的值包括以下值：

  • CONNECT – 连接客户端会话时。

  • QUERY – SQL 语句。附带一个或多个 class 值为 AUX 的事件。

  • DISCONNECT – 客户端会话断开连接时。

  • FAILED_CONNECT – 客户端尝试连接但无法连接时。

  • CHANGEUSER – 属于 MySQL 网络协议的一部分但不是来自您发出的语句的状态更改。

class 为 AUX 时的值包括以下值：

  • READ – SELECT 或 COPY 语句（当源为关系或查询时）。

  • WRITE – INSERT、UPDATE、DELETE、TRUNCATE 或 COPY 语句（当目标为关系时）。

  • DROP – 删除对象。

  • CREATE – 创建对象。

  • RENAME – 重命名对象。

  • ALTER – 更改对象的属性。
commandText 字符串

对于 class 值为 MAIN 的事件，此字段表示用户传入的实际 SQL 语句。此字段用于除连接或断开连接记录之外的所有类型的记录，在这种情况下，该值为 null。

对于 class 值为 AUX 的事件，此字段包含有关事件中涉及的对象的补充信息。

对于 Aurora MySQL，字符（如引号）前面有反斜杠，表示转义字符。

重要

每个语句的完整 SQL 文本在审核日志中可见，包括任何敏感数据。但是，如果 Aurora 可以从上下文中确定数据库用户密码，则会对该密码进行修订，如下面的 SQL 语句所示。

mysql> SET PASSWORD = 'my-password';
注意

作为安全最佳实践，请指定除此处所示提示以外的密码。
databaseName 字符串 用户连接到的数据库。
dbProtocol 字符串 数据库协议。目前，对于 Aurora MySQL，此值始终为 MySQL。
dbUserName 字符串 客户端对其进行身份验证的数据库用户。
endTime

（仅版本 1.2 数据库活动记录）

 字符串

SQL 语句执行结束的时间。它以协调世界时 (UTC) 格式表示。

要计算 SQL 语句的执行时间，请使用 endTime - startTime。另请参阅 startTime 字段。
errorMessage

（仅版本 1.1 数据库活动记录）

 字符串

如果出现任何错误，则使用数据库服务器生成的错误消息填充此字段。对于未导致错误的普通语句，errorMessage 值为 null。

错误定义为生成客户端可见 MySQL 错误日志事件（其严重性级别为 ERROR 或更高）的任何活动。有关更多信息，请参阅 MySQL 参考手册中的错误日志。例如，语法错误和查询取消会生成错误消息。

内部 MySQL 服务器错误（例如后台检查指针进程错误）不会生成错误消息。但是，无论如何设置日志严重性级别，此类事件的记录仍会发出。这样可防止攻击者关闭日志记录以尝试避开检测。

另请参阅 exitCode 字段。
exitCode int 用于会话退出记录的值。在干净的出口，这包含退出代码。在某些故障场景中，无法始终获得退出代码。在此类情况下，此值可能为零，也可能为空。
logTime 字符串 审核代码路径中记录的时间戳。它以协调世界时 (UTC) 格式表示。有关计算语句持续时间的最准确方法，请参阅 startTime 和 endTime 字段。
netProtocol 字符串 网络通信协议。目前，对于 Aurora MySQL，此值始终为 TCP。
objectName 字符串 数据库对象的名称（如果正在对一个数据库对象运行 SQL 语句）。此字段仅在对数据库对象运行 SQL 语句时使用。如果未对一个对象运行 SQL 语句，则此值为空。要构造对象的完全限定名称，请将 databaseName 和 objectName 组合起来。如果查询涉及多个对象，则此字段可以是名称的逗号分隔列表。
objectType 字符串

数据库对象类型，例如表、索引等。此字段仅在对数据库对象运行 SQL 语句时使用。如果未对一个对象运行 SQL 语句，则此值为 null。

Aurora MySQL 的有效值包括：

  • INDEX

  • TABLE

  • UNKNOWN
paramList 字符串 此字段不用于 Aurora MySQL 且始终为 null。
pid int 为向客户端连接提供服务而分配的后端进程的进程 ID。当数据库服务器重新启动时，pid 会发生更改，并且 statementId 字段的计数器会重新开始。
remoteHost 字符串 发出 SQL 语句的客户端的 IP 地址或主机名。对于 Aurora MySQL，使用哪一个取决于数据库的 skip_name_resolve 参数设置。值 localhost 指示来自 rdsadmin 特殊用户的活动。
remotePort 字符串 客户端的端口号。
rowCount int SQL 语句所影响或检索的表行的数目。此字段仅用于作为数据操作语言 (DML) 语句的 SQL 语句。如果 SQL 语句不是 DML 语句，则此值为 null。
serverHost 字符串 数据库服务器实例标识符。
serverType 字符串 数据库服务器类型，例如 MySQL。
serverVersion 字符串 数据库服务器版本。目前，对于 Aurora MySQL，此值始终为 MySQL 5.7.12。
serviceName 字符串 服务的名称。目前，对于 Aurora MySQL，此值始终为 Amazon Aurora MySQL。
sessionId int 伪唯一会话标识符。
startTime

（仅版本 1.1 数据库活动记录）

 字符串

SQL 语句开始执行的时间。它以协调世界时 (UTC) 格式表示。

要计算 SQL 语句的执行时间，请使用 endTime - startTime。另请参阅 endTime 字段。
statementId int 客户端的 SQL 语句的标识符。计数器随客户端输入的每个 SQL 语句递增。在重新启动数据库实例时，将重置计数器。
substatementId int SQL 子语句的标识符。对于类为 MAIN 的事件，此值为 1；对于类为 AUX 的事件，此值为 2。使用 statementId 字段标识同一语句生成的所有事件。
transactionId

（仅版本 1.2 数据库活动记录）

 int 事务的标识符。
type 字符串 事件类型。有效值为 record 或 heartbeat。