在利用MySQL审计方面需要帮助

Question

我们正在设置密码轮换策略，每季度轮换帐户/密码。我们还计划使用MySQL/Maria/Percona审计。需要找出最有效和最可行的方式来实现两者的最小干预，同时在密码轮换。

说明:我不想每季度编辑/添加/更改审核筛选规则，只要我们旋转用户帐户。

可能的尝试解决办法：

• 尝试使用附加到应用程序帐户(可轮换)的权限审核角色，但没有运气作为基于登录帐户的审核筛选器。
• 因此，默认情况下将exclude_account配置为(MySQL_schema@localhost)不会为所有其他未来用户帐户进行日志记录，因为某些进程和端口监视(运行时没有mysql用户帐户)会不断地填充审计日志，这也是一个问题。
• 可行的解决方案是预先配置一些带有密码的x帐户，并在Day1的审计中启用所有这些帐户。每个季度激活/停用一个帐户。使用所有帐户后，使用不同密码的相同帐户。

寻找更有效的解决方案，或如果有人设法解决类似的问题，使用审计过滤规则？

Answer 1

假设您可以为您的监控软件找到一种使用实际帐户的方法，并且进一步假设您的受信任/非审计用户列表更加静态，那么使用“排除用户”选项应该意味着更少的维护。

为了从日志中排除受信任用户的列表，MariaDB审计插件有一个server_audit_excl_users选项，而Percona审计日志插件也有一个audit_log_exclude_accounts。

顺便说一句，关于旋转的用户/密码，您可能有兴趣知道MariaDB 10.4+有一个过期密码特性。