SQL Server Audit

在 Amazon RDS 中，您可以使用内置 SQL Server 审核机制来审核 Microsoft SQL Server 数据库。您可以按照为本地数据库服务器创建审核和审核规范的相同方式来创建它们。

RDS 使用您提供的 IAM 角色将完成的审核日志上传到 S3 存储桶。如果您启用保留，则 RDS 会在配置的时间段内将您的审核日志保留在您的数据库实例中。

有关更多信息，请参阅 Microsoft SQL Server 文档中的 SQL Server Audit（数据库引擎）。

SQL Server 审计与数据库活动流

您可以使用 RDS 的数据库活动流，将 SQL Server 审计事件与 Imperva、McAfee 和 IBM 中的数据库活动监控工具集成。有关使用 RDS SQL Server 的数据库活动流进行审计的详细信息，请参阅Microsoft SQL Server 中的审计

SQL Server Audit 支持

在 Amazon RDS 中，从 SQL Server 2014 开始，所有版本的 SQL Server 都支持服务器级别审核，而企业版还支持数据库级别审计。从 SQL Server 2016 (13.x) SP1 开始，所有版本支持服务器级别和数据库级别审核。有关更多信息，请参阅 SQL Server 文档中的 SQL Server Audit（数据库引擎）。

RDS 支持为 SQL Server Audit 配置以下选项设置。

将 SQL Server Audit 添加到数据库实例选项

启用 SQL Server Audit 需要两个步骤：在数据库实例上启用选项，然后在 SQL Server 内启用功能。将 SQL Server Audit 选项添加到数据库实例的流程如下：

添加 SQL Server Audit 选项后，您无需重新启动数据库实例。只要选项组处于活动状态，您就可以创建审核并在 S3 存储桶中存储审核日志。

修改 SQL Server Audit 选项

启用 SQL Server Audit 选项后，您可以修改各项设置。有关如何修改选项设置的信息，请参阅修改选项设置。

从数据库实例选项中删除 SQL Server Audit

您可以通过禁用审核并删除选项来关闭 SQL Server Audit 功能。

使用 SQL Server Audit

您可以按照与控制本地数据库服务器相同的方式控制服务器审核、服务器审核规范和数据库审核规范。

创建审核

按照为本地数据库服务器创建服务器审核的相同方式来创建它们。有关如何创建服务器审核的信息，请参阅 Microsoft SQL Server 文档中的创建服务器审核。

为避免错误，请遵循以下限制：

创建审核规范

按照为本地数据库服务器创建服务器审核规范和数据库审核规范相同的方式来创建它们。有关创建审核规范的信息，请参阅 Microsoft SQL Server 文档中的创建服务器审核规范和创建数据库审核规范。

为避免错误，请勿在数据库审核规范或服务器审核规范的名称中使用 RDS_ 作为前缀。

查看审核日志

审核日志存储在 D:\rdsdbdata\SQLAudit 中。

SQL Server 完成写入到审核日志文件之后（当文件达到其大小限制时），Amazon RDS 会将文件上传到您的 S3 存储桶。如果启用了保留，Amazon RDS 会将文件移入到保留文件夹：D:\rdsdbdata\SQLAudit\transmitted。

有关配置保留的信息，请参阅将 SQL Server Audit 添加到数据库实例选项。

在上传审核日志文件之前，审核记录会一直保留在数据库实例上。您可以通过运行以下命令来查看审核记录。

SELECT   * 
	FROM     msdb.dbo.rds_fn_get_audit_file
	             ('D:\rdsdbdata\SQLAudit\*.sqlaudit'
	             , default
	             , default )

您可以使用相同的命令来查看保留文件夹中的审核记录，只需将筛选条件更改为 D:\rdsdbdata\SQLAudit\transmitted\*.sqlaudit。

SELECT   * 
	FROM     msdb.dbo.rds_fn_get_audit_file
	             ('D:\rdsdbdata\SQLAudit\transmitted\*.sqlaudit'
	             , default
	             , default )

将 SQL Server Audit 与多可用区实例结合使用

对于多可用区实例，将审核日志文件发送到 Amazon S3 的过程与单可用区实例类似。但是，二者之间存在一些重要区别：

若要从两个节点捕获服务器审核或服务器审核规范：

配置 S3 存储桶

审核日志文件会自动从数据库实例上传到您的 S3 存储桶。以下限制适用于您用作审核文件目标的 S3 存储桶。

用于存储数据的目标键遵循以下命名模式：DOC-EXAMPLE-BUCKET/key-prefix/instance-name/audit-name/node_file-name.ext

模式由以下元素组成：

手动为 SQL Server Audit 创建 IAM 角色

通常，当您创建新选项时，Amazon Web Services Management Console会为您创建 IAM 角色和 IAM 信任策略。但是，您可以手动创建与 SQL Server Audit 一起使用的新 IAM 角色，以便您可以根据自己的任何附加需求对其进行定制。为此，创建一个 IAM 角色并委托权限，以便 Amazon RDS 服务可使用您的 Amazon S3 存储桶。创建这个 IAM 角色时，附加信任和权限策略。信任策略允许 Amazon RDS 担任此角色。权限策略定义此角色可以执行的操作。有关更多信息，请参阅 Amazon Identity and Access Management 用户指南中的创建角色以向 Amazon 服务委托权限。

您可以使用本节中的示例来创建所需的信任关系和权限策略。

以下示例显示了 SQL Server Audit 的信任关系。该关系使用服务主体 rds.amazonaws.com 来允许 RDS 写入到 S3 存储桶。服务委托人是一个标识符，用于向服务授予权限。任何时候您通过这种方式允许访问 rds.amazonaws.com，即表示您允许 RDS 代表您执行操作。有关服务委托人的更多信息，请参阅 Amazon JSON 策略元素：Principal。

{
	    "Version": "2012-10-17",
	    "Statement": [
	        {
	            "Effect": "Allow",
	            "Principal": {
	                "Service": "rds.amazonaws.com"
	            },
	            "Action": "sts:AssumeRole"
	        }
	    ]
	}

我们建议在基于资源的信任关系中使用 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键，以此限制服务对特定资源的权限。这是防范混淆代理问题最有效的方法。

您可以使用这两个全局条件上下文键并让 aws:SourceArn 值包含账户 ID。在这种情况下，当 aws:SourceAccount 值和 aws:SourceArn 值中的账户使用相同策略语句时，确保二者使用相同的账户 ID。

在信任关系中，请务必使用 aws:SourceArn 全局条件上下文键和访问角色资源的完整 Amazon Resource Name (ARN)。对于 SQL Server Audit，请确保同时包含数据库选项组和数据库实例，如以下示例所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rds.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": [
                        "arn:aws:rds:Region:my_account_ID:db:db_instance_identifier",
                        "arn:aws:rds:Region:my_account_ID:og:option_group_name"
                    ]
                }
            }
        }
    ]
}

在以下 SQL Server Audit 权限策略示例中，我们为 Amazon S3 存储桶指定 ARN。您可以使用 ARN 来识别您想要为其授予访问权的特定账户、用户或角色。有关使用 ARN 的更多信息，请参阅 Amazon Resource Name (ARN)。

{
	    "Version": "2012-10-17",
	    "Statement": [
	        {
	            "Effect": "Allow",
	            "Action": "s3:ListAllMyBuckets",
	            "Resource": "*"
	        },
	        {
	            "Effect": "Allow",
	            "Action": [
	                "s3:ListBucket",
	                "s3:GetBucketACL",
	                "s3:GetBucketLocation"
	            ],
	            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
	        },
	        {
	            "Effect": "Allow",
	            "Action": [
	                "s3:PutObject",
	                "s3:ListMultipartUploadParts",
	                "s3:AbortMultipartUpload"
	            ],
	            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/key_prefix/*"
	        }
	    ]
	}