¿Cómo activo el registro de auditoría en Amazon Redshift y Amazon Redshift sin servidor?

Descripción corta

Amazon Redshift almacena los registros del sistema en tablas y vistas del sistema con un período de retención de hasta siete días. Estos registros ayudan a supervisar la seguridad de las bases de datos y a solucionar problemas con las bases de datos.

Para almacenar los registros durante más tiempo, active la característica de registro de auditoría de Amazon Redshift. Los registros se pueden almacenar en buckets de Amazon Simple Storage Service (Amazon S3) o en Amazon CloudWatch. CloudWatch tiene características para visualizar los datos de registro de auditoría.

Amazon Redshift registra la información en los siguientes tipos de registros:

• Registro de conexiones: registra los intentos de autenticación, las conexiones y las desconexiones.
• Registro de usuario: registra información sobre los cambios en las definiciones de usuario de la base de datos.
• Registro de actividad del usuario: registra cada consulta antes de ejecutarla en la base de datos.

Nota: Para los registros de actividad de los usuarios, asegúrese de configurar los grupos de parámetros para almacenar los registros correctamente.

Resolución

Activación del registro de auditoría en un clúster aprovisionado de Amazon Redshift

Para activar el registro de auditoría en un clúster aprovisionado de Amazon Redshift mediante la consola, siga estos pasos:

1. Abra la consola de Amazon Redshift.
2. En el panel de navegación, elija Clústeres y, a continuación, seleccione el clúster que desee actualizar.
3. Seleccione la pestaña Propiedades.
4. En el panel Configuraciones de bases de datos, elija Editar y, a continuación, elija Editar registro de auditoría.
5. En Editar registro de auditoría, elija Activar y, a continuación, seleccione Bucket de S3 o CloudWatch.
   Si selecciona Bucket de S3, tiene la opción de elegir un bucket existente o crear un bucket nuevo para almacenar los registros de auditoría de la base de datos.
   Si selecciona CloudWatch, puede seleccionar entre los siguientes tipos de registro: Registro de conexión, Registro de usuario y Registro de actividad del usuario.
6. Seleccione Guardar cambios.

Para activar el registro de auditoría con la interfaz de la línea de comandos de AWS (AWS CLI), consulte enable-logging.

Nota: Si se muestran errores al poner en marcha comandos de AWS CLI, consulte Solución de errores de AWS CLI. Además, asegúrese de utilizar la versión más reciente de la AWS CLI.

E el siguiente ejemplo se muestra cómo usar el comando enable-logging para activar el registro de auditoría con un bucket de S3 como destino del registro de auditoría:

aws redshift enable-logging --cluster-identifier redshift-cluster-1 --log-destination-type s3  --bucket-name mybucket --s3-key-prefix mybucket/test --region us-east-1

El resultado es similar al siguiente:

{    “LoggingEnabled”: true,    “BucketName”: “mybucket”,    “S3KeyPrefix”: “mybucket/test/“,    “LastSuccessfulDeliveryTime”: “2022-09-14T12:04:42.558000+00:00"}

Nota: Es posible que haya un retraso en los registros que aparecen en el bucket de S3 o en CloudWatch. Puede comprobar la fecha y la hora de la última entrega correcta en las propiedades del clúster para comprobar cuándo se realizó por última vez la entrega del registro.

Grupo de parámetros para los registros de actividad de los usuarios

Para registrar los registros de actividad de los usuarios, asegúrese de que el parámetro enable_user_activity_logging esté establecido en true en el grupo de parámetros del clúster adjunto al clúster de Amazon Redshift.

Nota: Cuando se crea inicialmente un clúster de Amazon Redshift, se asocia automáticamente al grupo de parámetros predeterminado. En esta configuración, el parámetro enable_user_activity_logging se establece en false. El grupo de parámetros predeterminado en sí no se puede modificar directamente.

Para activar el parámetro enable_user_activity_logging, siga estos pasos:

1. Cree un nuevo grupo de parámetros.
2. Modifique el grupo de parámetros para establecer el parámetro enable_user_activity_logging en true.

Para asociar el nuevo grupo de parámetros al clúster, siga estos pasos:

1. En el panel de navegación, seleccione Clústeres. A continuación, seleccione el clúster que desee modificar.
2. Seleccione Propiedades.
3. Desplácese hacia abajo hasta la sección Grupo de parámetros y seleccione Editar.
4. Elija el nuevo grupo de parámetros de la lista.
5. Seleccione Guardar cambios.

Es posible que tenga que reiniciar el clúster después de modificar los valores de los parámetros en un grupo de parámetros que ya está asociado a un clúster. Es posible que también necesite asociar un grupo de parámetros diferente a un clúster para que los valores de los parámetros actualizados surtan efecto. Los cambios no se aplican si el clúster se reinicia durante el mantenimiento.

Si activa el registro de auditoría, pero no el parámetro enable_user_activity_logging en el grupo de parámetros, ocurre lo siguiente:

• Los registros de auditoría de bases de datos almacenan información solo para el registro de conexión y el registro de usuario.
• El registro de actividad del usuario no se almacena.

Para obtener más información, consulte los grupos de parámetros de Amazon Redshift.

Activación del registro de auditoría para Amazon Redshift sin servidor

Para activar el registro de auditoría para Amazon Redshift sin servidor, siga estos pasos:

1. Abra la consola de Amazon Redshift.
2. En el panel de navegación, elija Redshift sin servidor y, a continuación, elija Panel sin servidor.
3. Seleccione el espacio de nombres para el que desee activar el registro de auditoría.
4. Seleccione la pestaña Seguridad y cifrado.
5. En Seguridad y cifrado, elija Editar.
6. En Exportar estos registros, seleccione los registros que desee guardar en CloudWatch. Puede seleccionar entre los siguientes tipos de registro: Registro de usuario, Registro de conexión y Registro de actividad del usuario.
7. Seleccione Guardar cambios.

Nota: Amazon Redshift sin servidor no puede exportar registros a buckets de S3.

Para obtener más información sobre cómo supervisar los registros de auditoría, consulte Eventos de registro en CloudWatch.

Información relacionada

Registro de auditoría de bases de datos

Registro de auditoría para Amazon Redshift sin servidor