Comment puis-je activer la journalisation d’audit dans Amazon Redshift et Amazon Redshift Serverless ?

Brève description

Amazon Redshift stocke les journaux système dans des tables et des vues système avec une période de conservation pouvant aller jusqu'à sept jours. Ces journaux permettent de surveiller la sécurité des bases de données et de résoudre les problèmes de base de données.

Pour stocker les journaux pendant une durée plus longue, activez la fonctionnalité de journalisation d’audit d'Amazon Redshift. Les journaux peuvent être stockés dans des compartiments Amazon Simple Storage Service (Amazon S3) ou dans Amazon CloudWatch. CloudWatch inclut des fonctionnalités permettant de visualiser les données de journalisation d’audit.

Amazon Redshift consigne les informations dans les types de journaux suivants :

• Journal de connexion - Journalise les tentatives d'authentification, les connexions et les déconnexions.
• Journal utilisateur - Journalise les informations sur les modifications apportées aux définitions des utilisateurs de base de données.
• Journal d'activité utilisateur - Journalise chaque requête avant son exécution dans la base de données.

Remarque : Pour les journaux d'activité utilisateur, assurez-vous de configurer les groupes de paramètres pour stocker correctement les journaux.

Résolution

Activer la journalisation d’audit dans un cluster provisionné par Amazon Redshift

Pour activer la journalisation d’audit dans un cluster provisionné par Amazon Redshift à l'aide de la console, procédez comme suit :

1. Ouvrez la console Amazon Redshift.
2. Dans le volet de navigation, sélectionnez Clusters, puis choisissez le cluster que vous souhaitez mettre à jour.
3. Choisissez l’onglet Propriétés.
4. Dans le panneau Configurations de base de données, sélectionnez Modifier, puis Modifier la journalisation d’audit.
5. Pour Modifier la journalisation d’audit, sélectionnez Activer, puis Compartiment S3 ou CloudWatch.
   Si vous sélectionnez un compartiment S3, vous avez la possibilité de choisir un compartiment existant ou de créer un nouveau compartiment pour stocker les journaux d'audit de base de données.
   Si vous sélectionnez CloudWatch, vous pouvez sélectionner l'un des types de journaux suivants : Journal de connexion, Journal utilisateur et Journal d’activité utilisateur.
6. Sélectionnez Enregistrer les modifications.

Pour activer la journalisation d’audit à l'aide de l'interface de ligne de commande AWS (AWS CLI), consultez enable-logging.

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes AWS CLI, consultez la section Résoudre les erreurs liées à l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l’AWS CLI.

L'exemple suivant montre comment utiliser la commande enable-logging pour activer la journalisation d’audit avec un compartiment S3 comme destination de journalisation d’audit :

aws redshift enable-logging --cluster-identifier redshift-cluster-1 --log-destination-type s3  --bucket-name mybucket --s3-key-prefix mybucket/test --region us-east-1

Vous obtiendrez une sortie de ce type :

{    “LoggingEnabled”: true,    “BucketName”: “mybucket”,    “S3KeyPrefix”: “mybucket/test/“,    “LastSuccessfulDeliveryTime”: “2022-09-14T12:04:42.558000+00:00"}

Remarque : Un retard d'affichage des journaux dans le compartiment S3 ou dans CloudWatch peut être observé. Vous pouvez vérifier la date et l’heure de dernière livraison réussie dans les propriétés du cluster pour vérifier quand la dernière livraison du journal a été effectuée.

Groupe de paramètres pour les journaux d'activité utilisateur

Pour consigner les journaux d'activité utilisateur, assurez-vous que le paramètre enable_user_activity_logging est défini sur vrai dans le groupe de paramètres de cluster associé au cluster Amazon Redshift.

Remarque : Lorsqu'un cluster Amazon Redshift est initialement créé, il est automatiquement associé au groupe de paramètres par défaut. Dans cette configuration, le paramètre enable_user_activity_logging est défini sur faux. Le groupe de paramètres par défaut lui-même ne peut pas être modifié directement.

Pour activer le paramètre enable_user_activity_logging, procédez comme suit :

1. Créez un nouveau groupe de paramètres.
2. Modifiez le groupe de paramètres pour définir le paramètre enable_user_activity_logging sur vrai.

Pour associer le nouveau groupe de paramètres au cluster, procédez comme suit :

1. Dans le volet de navigation, sélectionnez Clusters. Sélectionnez le cluster que vous souhaitez modifier.
2. Sélectionnez Propriétés.
3. Faites défiler la page jusqu'à la section Groupe de paramètres et sélectionnez Modifier.
4. Choisissez le nouveau groupe de paramètres dans la liste.
5. Sélectionnez Enregistrer les modifications.

Vous devrez peut-être redémarrer le cluster après avoir modifié les valeurs des paramètres d'un groupe de paramètres déjà associé à un cluster. Vous devrez peut-être également associer un groupe de paramètres différent à un cluster afin que les valeurs de paramètres mises à jour soient prises en compte. Les modifications ne sont pas appliquées si votre cluster est redémarré pendant la maintenance.

Si vous activez la journalisation d’audit mais que vous n'activez pas le paramètre enable_user_activity_logging dans le groupe de paramètres, la situation suivante se produit :

• Les journaux d'audit de base de données stockent des informations uniquement pour le journal de connexions et le journal utilisateur
• Le journal d'activité utilisateur n'est pas enregistré

Pour plus d'informations, consultez la section Groupes de paramètres Amazon Redshift.

Activer la journalisation d’audit pour Amazon Redshift Serverless

Pour activer la journalisation d’audit pour Amazon Redshift Serverless, procédez comme suit :

1. Ouvrez la console Amazon Redshift.
2. Dans le volet de navigation, sélectionnez Redshift Serverless, puis Tableau de bord sans serveur.
3. Sélectionnez l'espace de noms pour lequel vous souhaitez activer la journalisation d’audit.
4. Choisissez l'onglet Sécurité et chiffrement.
5. Dans Sécurité et chiffrement, sélectionnez Modifier.
6. Dans Exporter ces journaux, sélectionnez les journaux que vous souhaitez enregistrer dans CloudWatch. Vous pouvez sélectionner l'un des types de journaux suivants : Journal utilisateur,Journal de connexion et Journal d’activité utilisateur.
7. Sélectionnez Enregistrer les modifications.

Remarque : Amazon Redshift Serverless ne peut pas exporter les journaux vers des compartiments S3.

Pour plus d'informations sur la procédure de surveillance des journaux d'audit, consultez la section Journaliser des événements dans CloudWatch.

Informations connexes

Enregistrement d’audits de base de données

Journalisation d’audit pour Amazon Redshift Serverless