Aurora MySQLで監査ログを取得して確認する方法

-- 対象: Aurora MySQL 2.x / 3.x
-- 権限: 接続権限（グローバル変数の参照のみ）
-- 変更作業: なし（参照のみ）
-- Production 実行: 可能
SHOW GLOBAL VARIABLES WHERE Variable_name IN (
    'server_audit_logging',
    'server_audit_events',
    'server_audit_incl_users',
    'server_audit_excl_users'
);

# 対象: Aurora MySQL（DBクラスターパラメータグループ）
# 権限: IAM rds:DescribeDBClusterParameters
# 変更作業: なし（参照のみ）
# Production 実行: 可能
aws rds describe-db-cluster-parameters \
  --db-cluster-parameter-group-name example-aurora-mysql-cluster-params \
  --query "Parameters[?starts_with(ParameterName, 'server_audit')].{Name:ParameterName,Value:ParameterValue,Apply:ApplyType,Source:Source}" \
  --output table

# 対象: Aurora MySQL（DBクラスターパラメータグループ）
# 権限: IAM rds:ModifyDBClusterParameterGroup
# 変更作業: あり（クラスター全体に効く監査設定の変更）
# Production 実行: 変更管理を通したうえで実施。記録量の増加を必ず見込むこと

# 値にカンマを含むため、shorthand ではなく JSON 形式で指定する
aws rds modify-db-cluster-parameter-group \
  --db-cluster-parameter-group-name example-aurora-mysql-cluster-params \
  --parameters '[
    {"ParameterName":"server_audit_logging","ParameterValue":"1","ApplyMethod":"immediate"},
    {"ParameterName":"server_audit_events","ParameterValue":"CONNECT,QUERY_DDL,QUERY_DCL","ApplyMethod":"immediate"},
    {"ParameterName":"server_audit_excl_users","ParameterValue":"rdsadmin","ApplyMethod":"immediate"}
  ]'

# 対象: Aurora MySQL（DBクラスター）
# 権限: IAM rds:ModifyDBCluster
# 変更作業: あり（ログ出力先の追加）
# Production 実行: 可能。ただしCloudWatch Logsの取り込み量に応じた料金が発生する

aws rds modify-db-cluster \
  --db-cluster-identifier example-aurora-cluster \
  --cloudwatch-logs-export-configuration '{"EnableLogTypes":["audit"]}' \
  --apply-immediately

# 現在の出力設定を確認する
aws rds describe-db-clusters \
  --db-cluster-identifier example-aurora-cluster \
  --query 'DBClusters[0].EnabledCloudwatchLogsExports' \
  --output text

# 対象: Aurora MySQL インスタンス
# 権限: IAM rds:DescribeDBLogFiles, rds:DownloadDBLogFilePortion
# 変更作業: なし（参照のみ）
# Production 実行: 可能

# 1) 監査ログのファイル一覧を取得する
aws rds describe-db-log-files \
  --db-instance-identifier example-aurora-instance \
  --filename-contains audit \
  --query 'DescribeDBLogFiles[].{Name:LogFileName,Size:Size,LastWritten:LastWritten}' \
  --output table

# 2) 1) で得たファイル名を指定して内容を取得する
aws rds download-db-log-file-portion \
  --db-instance-identifier example-aurora-instance \
  --log-file-name "audit/audit.log.0.0" \
  --starting-token 0 \
  --output text

# 対象: CloudWatch Logs（Aurora MySQL の audit ロググループ）
# 権限: IAM logs:StartQuery, logs:GetQueryResults
# 変更作業: なし（参照のみ）
# Production 実行: 可能

# 監査ログはカンマ区切りのレコードとして出力されるため、まず生の行を数件確認し、
# 実際のフィールド順を目視で確認してから parse のパターンを決める
fields @timestamp, @message
| sort @timestamp desc
| limit 20

# 特定ユーザーの操作だけを抽出する例（フィールド順を確認したうえで使う）
fields @timestamp, @message
| filter @message like /sample_user/
| sort @timestamp desc
| limit 100