如何配置MySQL企业版审计插件获取合规报告_安装audit

MySQL企业版audit_log插件需先确认版本含Enterprise字样、plugin_dir下存在audit_log.so文件，再执行官方install脚本初始化过滤表，最后INSTALL PLUGIN加载；社区版默认不提供该插件。

如何配置mysql企业版审计插件获取合规报告_安装audit_log扩展

audit_log 插件在 MySQL 企业版中是开箱即用的合规审计能力核心，但直接执行 INSTALL PLUGIN audit_log SONAME 'audit_log.so' 很可能失败——不是语法错，而是你的 MySQL 实例压根没加载这个文件，或根本不是企业版。

确认你用的是 MySQL 企业版且插件已就位

社区版（哪怕 8.0.33+）默认不带 audit_log.so，官方 yum/apt 源安装的社区版二进制包里根本不存在该文件。企业版则不同：安装包自带，且路径固定（Linux 下通常为 /usr/lib64/mysql/plugin/audit_log.so 或 /usr/local/mysql/lib/plugin/audit_log.so）。

先查版本：SELECT @@version, @@version_comment; —— 输出里必须含 Enterprise 字样
再查插件路径：SELECT @@plugin_dir;
然后手动检查文件是否存在：ls -l $(mysql -Nse "SELECT @@plugin_dir;")/audit_log.so
如果报 “No such file”，别折腾了，换企业版安装包或改用 MariaDB 的 server_audit

加载 audit_log 插件的正确姿势（非配置文件方式）

MySQL 企业版推荐用 SQL 命令加载，而非仅靠 my.cnf 中的 plugin-load。因为企业版的 audit_log 依赖配套的过滤规则表（mysql.audit_log_filter、mysql.audit_log_user），需先初始化。

运行官方初始化脚本（路径依安装方式而异）：
```
mysql -uroot -p 
```
然后加载插件： INSTALL PLUGIN audit_log SONAME 'audit_log.so';
验证是否激活： SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'audit_log'; —— 必须返回 ACTIVE

如果卡在第一步（脚本报错找不到表），说明 MySQL 未完成初始化或权限不足，需用 root 用户且确保 mysql 系统库可写。

audit_log_events 和 audit_log_policy 别乱设

这两个变量控制“记什么”，但作用机制完全不同，混用会白配：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

audit_log_events 是旧式粗粒度开关，只接受逗号分隔字符串，如 'CONNECT,QUERY,TABLE'；但它不支持 DCL（GRANT/REVOKE）或存储过程事件，且无法按用户/DB 过滤
audit_log_policy 是企业版新策略开关，值为 ALL、LOGINS、QUERIES、CLEAR —— 生产环境严禁设 ALL，它会记录内部心跳查询、performance_schema 刷新等，IO 扛不住

真正合规报告依赖的是过滤器（filter）机制：

创建全量记录 filter：SELECT audit_log_filter_set_filter('log_all', '{ "filter": { "log": true } }');
绑定到所有账户：SELECT audit_log_filter_set_user('%@%', 'log_all');
这样才满足等保/PCI-DSS 要求的“连接 + 所有语句”覆盖，且不打爆磁盘

audit_log_file 写不进日志？先盯住三个硬条件

日志“静默丢失”最常见于以下三处：

audit_log_file 路径的父目录必须存在且属主为 mysql 用户，例如设为 /var/log/mysql/audit.log，但 /var/log/mysql 不存在或属主是 root，插件加载成功但完全不写
audit_log_buffer_size 默认 1MB，QPS > 200 时缓冲区极易满，导致客户端 hang 住几秒才响应——调到 4194304（4MB）更稳
audit_log_format 设为 JSON 后，日志内容不含时间戳字段 timestamp，而是 timestamp_utc，做 SIEM 接入时字段名要对上，否则解析失败