步骤二:添加agent-凯发k8国际娱乐官网入口
将待审计数据库添加至数据库安全审计实例后,您需要根据您在云上实际部署的数据库选择添加agent的方式以及在应用端或数据库端安装agent。agent程序会获取访问数据库流量、将流量数据上传到审计系统、接收审计系统配置命令和上报数据库状态监控数据,帮助您实现对数据库的安全审计。
完成添加agent后,您还需要为agent安装节点所在的安全组添加入方向规则tcp协议(8000端口)和udp协议(7000-7100端口),使agent与审计实例之间的网络连通,数据库安全审计才能对添加的数据库进行审计。
目前仅如下几种类型数据库支持免agent审计。
- gaussdb for mysql
- rds for sqlserver
- rds for mysql:
- 5.6(5.6.51.1及以上版本)
- 5.7(5.7.29.2及以上版本)
- 8.0(8.0.20.3及以上版本)
- gaussdb(dws):8.2.0.100及以上版本
前提条件
- 已成功购买数据库安全审计实例,且实例的状态为“运行中”。
- 已成功添加数据库。
常见场景
请您根据数据库类型以及数据库部署场景,为待审计的数据库添加agent。数据库常见的部署场景说明如下:
- ecs/bms自建数据库的常见部署场景如图1和图2所示。
图1 一个应用端连接多个ecs/bms自建数据库
图2 多个应用端连接同一个ecs/bms自建数据库
- rds关系型数据库的常见部署场景如图3和图4所示。
图3 一个应用端连接多个rds
图4 多个应用端连接同一个rds
添加agent方式的详细说明如表1所示。
- 当您的应用和数据库(ecs/bms自建数据库)都部署在同一个节点上时,agent需在数据库端添加。
- 数据库安全审计还支持批量部署流量采集agent,针对大规模业务场景(容器化部署应用、数据库(rds关系型数据库)数量大),能够显著提升产品配置的效率,降低配置的复杂度,减少运维人员的日常维护压力。详细操作步骤,请参见。
使用场景 |
agent安装节点 |
审计功能说明 |
注意事项 |
---|---|---|---|
ecs/bms自建数据库 |
数据库端 |
可以审计所有访问该数据库的应用端的所有访问记录。 |
|
rds关系型数据库 |
应用端 (应用端部署在云上) |
可以审计该应用端与其连接的所有数据库的访问记录。 |
|
代理端(应用端部署在云下) |
只能审计代理端与后端数据库之间的访问记录,无法审计应用端与后端数据库的访问记录。 |
|
添加agent(ecs/bms自建数据库)
- 。
- 在页面上方选择“区域”后,单击页面左上方的,选择 ,进入数据库安全审计“总览”界面。
- 在左侧导航树中,选择 ,进入数据库列表界面。
- 在“选择实例”下拉列表框中,选择需要添加agent的数据库所属的实例。
- 在添加的数据库所在行的“agent”列,单击“添加agent”。
- 在弹出的“添加agent”对话框中,选择添加方式,如图5所示,相关参数说明如表2所示。
图5 在数据库端添加agent
表2 添加agent参数说明(ecs/bms自建数据库) 参数名称
说明
取值样例
添加方式
您可以选择agent的添加方式。- 选择已有agent
当某个应用端连接了多个数据库时,如果该应用端的一个数据库已经添加了agent。其他数据库在添加agent时,只需要选择“选择已有agent”添加方式。
- 创建agent
如果待添加agent的数据库需要创建agent,请创建新的agent。
创建agent
安装节点类型
当“添加方式”选择“创建agent”时,需配置该参数。
审计ecs/bms自建数据库,选择“数据库端”。
数据库端
操作系统
指待审计的数据库的操作系统,支持“linux64”。
说明:根据服务器架构的不同,请根据自身的服务器架构选择linux64_x86或者linux64_arm架构版本。
linux64-x86
cpu阈值(%)
可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。
指待审计的应用端节点的cpu阈值,缺省值为“80”。
80
内存阈值(%)
可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。
指待审计的应用端节点的内存阈值,缺省值为“80”。
80
- 选择已有agent
- 单击“确定”,agent添加成功。
- 单击“数据库列表”页面下方的展开该数据库的详细信息,查看添加的agent信息。
图6 agent添加完成
agent添加完成后,请您确认添加的agent信息正确。如果agent添加不正确,请您在agent所在行单击“more”选择“删除”,删除agent后,再重新添加agent。
添加agent(rds关系型数据库)
对于数据库类型为“mysql”和“gaussdb(for mysql)”的rds关系型数据库,在添加数据库成功后agent免安装,您可以直接进行步骤四:添加安全组规则。
当某个应用端连接了多个rds时, 请按以下方式添加agent:
- 连接该应用端所有的rds都需要添加agent。
- 如果连接该应用端的某个数据库已在应用端添加了agent。其他数据库在添加agent时,请选择“选择已有agent”添加方式。
- 。
- 在页面上方选择“区域”后,单击页面左上方的,选择 ,进入数据库安全审计“总览”界面。
- 在左侧导航树中,选择 ,进入数据库列表界面。
- 在“选择实例”下拉列表框中,选择需要添加agent的数据库所属的实例。
- 在添加的数据库所在行的“agent”列,单击“添加agent”。
- 在弹出的“添加agent”对话框中,选择添加方式,如图7和图8所示,相关参数说明如表3所示。
- “添加方式”选择“选择已有agent”
在什么场景下需要选择“选择已有agent”添加方式的详细介绍,请参见在什么场景下需要选择“选择已有agent”添加方式?。
选择“选择已有agent”添加方式,如果您已在应用端安装了agent,该数据库添加agent后,数据库安全审计即可对该数据库进行审计。
图7 选择已有agent
- “添加方式”选择“创建agent”
如果待添加agent的数据库需要创建agent,请创建新的agent。
“安装节点类型”选择“应用端”,“安装节点ip”输入应用端内网ip地址。图8 在应用端添加agent
表3 添加agent参数说明(rds关系型数据库) 参数名称
说明
取值样例
添加方式
您可以选择agent的添加方式。- 选择已有agent
当某个应用端连接了多个数据库时,如果该应用端的一个数据库已经在应用端添加了agent。其他数据库在添加agent时,只需要选择“选择已有agent”添加方式。
- 创建agent
如果待添加agent的数据库需要创建agent,请创建新的agent。
创建agent
安装节点类型
当“添加方式”选择“创建agent”时,需配置该参数。
审计rds关系型数据库,需要选择“应用端”。
应用端
安装节点ip
“安装节点类型”选择“应用端”时,需配置该参数。安装节点ip只能填写一个,每个agent安装节点ip不同。
ip地址为应用端内网ip地址。
ip必须为内网ip地址,支持ipv4和ipv6格式。
须知:当审计rds关系型数据库且应用端在云下时,代理端将作为应用端,此时,“安装节点ip”需要配置为代理端的ip地址。
192.168.1.1
审计网卡名称
可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。
指待审计的应用端节点的网卡名称。
-
cpu阈值(%)
可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。
指待审计的应用端节点的cpu阈值,缺省值为“80”。
须知:当服务器的cpu超过设置的阈值,为了保证您业务的正常运行,agent将自动关闭,停止运行。
80
内存阈值(%)
可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。
指待审计的应用端节点的内存阈值,缺省值为“80”。
须知:当服务器上的内存超过设置的阈值,为了保证您业务的正常运行,agent将自动关闭,停止运行。
80
操作系统
可选参数。“安装节点类型”选择“应用端”时,可以配置该参数。
指待审计的应用端节点的操作系统,可以选择“linux64”或“windows64”。
linux64
- “添加方式”选择“选择已有agent”
- 单击“确定”,agent添加成功。
- 单击“数据库列表”页面下方的展开该数据库的详细信息,查看添加的agent信息。
图9 agent已添加完成
agent添加完成后,请您确认添加的agent信息正确。如果agent添加不正确,请您在agent所在行单击“more”选择“删除”,删除agent后,再重新添加agent。
后续处理
agent添加完成后,您还需要为数据库安全审计实例所在的安全组添加入方向规则tcp协议(8000端口)和udp协议(7000-7100端口),使agent与审计实例之间的网络连通,数据库安全审计才能对添加的数据库进行审计。有关添加安全组规则的详细操作,请参见。
意见反馈
文档内容是否对您有帮助?
如您有其它疑问,您也可以通过华为云社区问答频道来与我们联系探讨