Auditlogs für Autonomous Transaction Processing-Datenbanken überwachen
Die Marketplace-App zur Überwachung von Auditlogs aus einer Autonomous Transaction Processing-(ATP-)Datenbank automatisiert die Konfiguration, die zum Starten der Verarbeitung von Oracle ATP-Datenbankauditlogs für die Analyse in Oracle Logging Analytics erforderlich ist. Sie enthält eine Sammlung automatisierter Terraform-Deployment-Skripte, die über den OCI Marketplace abgerufen werden können.
OCI Marketplace-Anwendungen verwenden Resource Manager, um Cloud-Infrastruktur und -Services, die in der Anwendung angegeben sind, mit nur einem Mausklick zu erstellen und bereitzustellen. Dies vereinfacht die Bereitstellung erheblich, sodass die Benutzer schnell einsteigen können.
Diese Anwendung erstellt einen OCI Resource Manager-Stack, der einen OCI-Management-Agent auf einer neuen Compute-Instanz umfasst, die so konfiguriert ist, dass sie einheitliche Datenbankauditlogs von einer ATP-Instanz aufnimmt, die im Mandanten des Kunden in Logging Analytics ausgeführt wird. Die Anwendung zeigt die Resource Manager-Stackstruktur für die Überwachung der Verfügbarkeitsprüfung und kann erweitert werden, um die Überwachung mehrerer Verfügbarkeitsinstanzen für Produktions-Deployments zu ermöglichen.
Hinweis:
Sie müssen OCI Logging Analytics zusammen mit den erforderlichen Policys in der Region, in der dieser Stack gestartet wird, im Mandanten integrieren. Weitere Informationen finden Sie in der OCI-Kurzanleitung, auf die im Thema "Weitere Informationen durchsuchen" unten verwiesen wird.Zu erstellende Ressourcen prüfen
Die Marketplace-App erstellt die folgenden Ressourcen (nacheinander):
- Dynamische Gruppen für Compute- und Management-Agents.
- IAM-Policys zum Hochladen von Logging Analytics-Logs, zum Lesen des OCI Vault-Lesevorgangs und zum Erstellen eines Zugangsdaten-Wallets.
- Compute-Instanz zum Ausführen des Management Agent
- Ein Management Agent
- Eine Logging Analytics-Entity
Nachdem diese erstellt wurden, prüfen Sie sie alle, bevor Sie mit dem Rest dieser Lösung fortfahren.
App-Verfügbarkeit überprüfen
Sie können die mit dieser Lösung verknüpften Apps aus den folgenden Quellen abrufen. Links zu beiden finden Sie in "Mehr erfahren" an anderer Stelle in diesem Handbuch.
- Marketplace-Apps
Die Überwachung der Autonomous Transaction Processing-(ATP-)Datenbankauditlogs ist auf OCI Marketplace verfügbar. Dieses Tool unterstützt Sie bei der Erfassung der Datenbankauditlogs aus einer ATP-Instanz und der Darstellung im Logging Analytics Dashboard.
- Github
Die Terraform-Skripte für den Management Agent - Schnellstart sind unter GitHub verfügbar. Mit diesen Skripten können Sie Ressourcen anpassen und erstellen, um Ihre spezifischen Überwachungsanforderungen zu erfüllen.
In diesem Playbook verwendete Terminologie verstehen
Machen Sie sich mit den folgenden Begriffen vertraut, bevor Sie mit dieser Lösung beginnen.
- Resource Manager und Stacks
OCI Resource Manager stellt eine vereinfachte Benutzeroberfläche (UI) zur Ausführung einer Sammlung von Terraform-Skripten bereit, die auch als Stacks bezeichnet werden. Der Ressourcenmanager bietet auch die Möglichkeit, Trockenläufe (Plan) auszuführen, die für die Fehlerbehebung von Problemen nützlich sind, und eine Option zum Bereinigen (Zerstören) von Ressourcen, nachdem sie nicht mehr verwendet werden.
- Terraform
Dies ist die zugrunde liegende Technologie, mit der Resource Manager Cloud-Services sowie Infrastrukturen entwickelt und bereitstellt.
- Management Agent
Der Management Agent bietet interaktive Kommunikation und Datenerfassung mit geringer Latenz zwischen OCI und anderen Datenquellen. Es wird in dieser App verwendet, um Logdaten von einem angegebenen Ziel zu erfassen.
- Dynamische OCI-Gruppen und Identity and Access Management-Policys
Mit dynamischen Gruppen können Sie OCI Compute-Instanzen oder andere Ressourcen – in diesem Fall den Management Agent – als Principal-Akteure gruppieren (ähnlich wie Benutzergruppen). Sie erstellen Policys für diese Gruppe, damit Principal-Akteure API-Aufrufe für OCI-Services ausführen können. Mit dynamischen Gruppen können Sie eine Gruppe von Übereinstimmungsregeln definieren, um Gruppenmitglieder zu definieren, sodass Mitglieder nicht explizit zur Gruppe hinzugefügt werden müssen.
- ATP-Instanz und Unified DB-Auditlogs
Diese App erfasst DB-Auditlogs aus einer ATP-Instanz in dieser App und zeigt diese Logs im Logging Analytics Dashboard an.
- Logging Analytics-Dashboard
Das Oracle Cloud Infrastructure Logging Analytics-Dashboard enthält Suchdaten in einer Form, mit der Sie sie besser verstehen und analysieren können. Sie bietet außerdem Zugriff auf ein benutzerdefiniertes Dashboard für den Zugriff auf die mit dieser App erfassten DB-Auditlogs.
Voraussetzungen für die Implementierung dieses Anwendungsfalls erfüllen
Bevor Sie mit dieser Lösung beginnen, stellen Sie sicher, dass Sie die folgenden Voraussetzungen erfüllt haben. Sie müssen:
- Seien Sie Teil der Admin-Gruppe, oder verfügen Sie über die erforderlichen Berechtigungen zum Aufrufen des Resource Manager-Stacks. Weitere Informationen zu erforderlichen Policys finden Sie im folgenden Abschnitt.
- Vollständiges Onboarding mit Logging Analytics.
- Sie verfügen über einen Mandanten mit einem VCN und einem Subnetz, in dem Compute-Instanzen erstellt werden sollen.
- Zugriff auf eine zu überwachende ATP-Instanz.
- Erstellen Sie ein Vault Secret mit einem ATP-Benutzerkennwort, mit dem Sie auf Logs in der ATP-Instanz zugreifen können.
Erforderliche Policys prüfen
Wenn der Benutzer nicht zur Admin-Gruppe gehört, muss er über die folgenden Berechtigungen verfügen, um den Resource Manager-Stack aufzurufen. Weitere Informationen zum Erstellen und Verwalten von Benutzergruppen finden Sie unter "Gruppen verwalten", auf die Sie über "Mehr erfahren" an anderer Stelle in diesem Handbuch zugreifen können.
# Policies required to manage stacks and jobs in OCI Resource Manager
ALLOW GROUP User-Group TO MANAGE orm-stacks IN TENANCY
ALLOW GROUP User-Group TO MANAGE orm-jobs IN TENANCY
# Policies required to read and manage IAM resources
ALLOW GROUP User-Group TO READ compartments IN TENANCY
ALLOW GROUP User-Group TO READ tenancies IN TENANCY
ALLOW GROUP User-Group TO MANAGE dynamic-groups IN TENANCY
ALLOW GROUP User-Group TO MANAGE policies IN TENANCY
# Policies required to read ATP and Vault Secret
ALLOW GROUP User-Group TO INSPECT autonomous-databases IN TENANCY
ALLOW GROUP User-Group TO INSPECT secrets IN TENANCY
# Policies required to create the Compute Instance
ALLOW GROUP User-Group TO READ vcns IN TENANCY
ALLOW GROUP User-Group TO MANAGE subnets IN TENANCY
ALLOW GROUP User-Group TO MANAGE instance-family IN TENANCY
# Policies required to manage Oracle Cloud Agent plugins and enable Management Agent
ALLOW GROUP User-Group TO MANAGE instance-agent-plugins IN TENANCY
ALLOW GROUP User-Group TO USE volume-family IN TENANCY
ALLOW GROUP User-Group TO USE virtual-network-family IN TENANCY
ALLOW GROUP User-Group TO MANAGE management-agents IN TENANCY
ALLOW GROUP User-Group TO READ metrics IN TENANCY
# Policies required to access and manage the Logging Analytics resources
ALLOW GROUP User-Group TO MANAGE loganalytics-features-family IN TENANCY
ALLOW GROUP User-Group TO MANAGE loganalytics-resources-family IN TENANCY