pgaudit
提供审计功能
概览
| 扩展包名 | 版本 | 分类 | 许可证 | 语言 |
|---|---|---|---|---|
pgaudit | 18.0 | SEC | PostgreSQL | C |
| ID | 扩展名 | Bin | Lib | Load | Create | Trust | Reloc | 模式 |
|---|---|---|---|---|---|---|---|---|
| 7100 | pgaudit | 否 | 是 | 是 | 是 | 否 | 是 | - |
| 相关扩展 | pgauditlogtofile set_user pg_permissions pg_auth_mon pg_auditor safeupdate pg_drop_events table_log |
|---|
pg15=pgaudit17, pg14=pgaudit16
版本
| 类型 | 仓库 | 版本 | PG 大版本 | 包名 | 依赖 |
|---|---|---|---|---|---|
| EXT | PGDG | 18.0 | 1817161514 | pgaudit | - |
| RPM | PGDG | 18.0 | 1817161514 | pgaudit_$v | - |
| DEB | PGDG | 18.0 | 1817161514 | postgresql-$v-pgaudit | - |
安装
您可以直接安装 pgaudit 扩展包的预置二进制包，首先确保 PGDG 仓库已经添加并启用：
pig repo add pgdg -u # 添加 PGDG 仓库并更新缓存
使用 pig 或者是 apt/yum/dnf 安装扩展：
pig install pgaudit; # 当前活跃 PG 版本安装
pig ext install -y pgaudit -v 18 # PG 18
pig ext install -y pgaudit -v 17 # PG 17
pig ext install -y pgaudit -v 16 # PG 16
pig ext install -y pgaudit -v 15 # PG 15
pig ext install -y pgaudit -v 14 # PG 14
dnf install -y pgaudit_18 # PG 18
dnf install -y pgaudit_17 # PG 17
dnf install -y pgaudit_16 # PG 16
dnf install -y pgaudit_15 # PG 15
dnf install -y pgaudit_14 # PG 14
apt install -y postgresql-18-pgaudit # PG 18
apt install -y postgresql-17-pgaudit # PG 17
apt install -y postgresql-16-pgaudit # PG 16
apt install -y postgresql-15-pgaudit # PG 15
apt install -y postgresql-14-pgaudit # PG 14
预加载配置：
shared_preload_libraries = 'pgaudit';
创建扩展：
CREATE EXTENSION pgaudit;
用法
pgAudit 通过标准 PostgreSQL 日志功能提供详细的会话和/或对象审计日志，生成政府、金融或 ISO 认证所需的审计追踪。
CREATE EXTENSION pgaudit;
配置参数
| 参数 | 默认值 | 描述 |
|---|---|---|
pgaudit.log | none | 要记录的语句类别：READ、WRITE、FUNCTION、ROLE、DDL、MISC、MISC_SET、ALL |
pgaudit.log_catalog | on | 当所有关系都在 pg_catalog 中时记录语句 |
pgaudit.log_client | off | 向客户端显示审计日志消息 |
pgaudit.log_level | log | 审计条目的日志级别 |
pgaudit.log_parameter | off | 在日志中包含语句参数 |
pgaudit.log_parameter_max_size | 0 | 参数最大字节数（0=无限制） |
pgaudit.log_relation | off | 在 SELECT/DML 中为每个关系生成单独的日志条目 |
pgaudit.log_rows | off | 在日志中包含行数 |
pgaudit.log_statement | on | 在日志中包含语句文本 |
pgaudit.log_statement_once | off | 仅在第一个条目中记录语句文本 |
pgaudit.role | (无) | 对象审计日志的主角色 |
会话审计日志
记录所有 DML 和 DDL，按关系详细记录：
SET pgaudit.log = 'write, ddl';
SET pgaudit.log_relation = on;
记录除杂项命令外的所有内容：
SET pgaudit.log = 'all, -misc';
输出示例：
AUDIT: SESSION,1,1,DDL,CREATE TABLE,TABLE,public.account,create table account(...)
AUDIT: SESSION,2,1,READ,SELECT,,,select * from account
对象审计日志
向审计角色授予权限以控制记录哪些关系：
SET pgaudit.role = 'auditor';
GRANT SELECT, DELETE
ON public.account
TO auditor;
现在对 account 表的任何 SELECT 或 DELETE 操作都会被审计记录。
日志格式
条目为 CSV 格式，包含以下字段：AUDIT_TYPE、STATEMENT_ID、SUBSTATEMENT_ID、CLASS、COMMAND、OBJECT_TYPE、OBJECT_NAME、STATEMENT、PARAMETER。