tidb教程FG073-TiDB加密与审计配置实战

本文档风哥主要介绍TiDB加密与审计配置的相关内容，包括加密的概念、审计的概念、TiDB中的加密实现、TiDB中的审计实现、加密实施、审计实施、安全监控、实战案例和故障处理等，风哥教程参考TiDB官方文档安全相关内容编写，适合DBA人员在学习和测试中使用，如果要应用于生产环境则需要自行确认。更多视频教程www.fgedu.net.cn

Part01-基础概念与理论知识

1.1 加密的概念

加密是一种保护数据安全的方法，通过算法将明文数据转换为密文，防止未授权访问：

加密的核心概念：

明文：原始数据
密文：加密后的数据
密钥：用于加密和解密的参数
算法：加密和解密的数学方法
加密类型：对称加密、非对称加密、哈希函数

1.2 审计的概念

审计是一种监控和记录系统活动的方法，用于追踪用户操作、检测异常行为和满足合规要求：

审计的核心概念：

审计日志：记录系统活动的日志
审计事件：需要记录的系统事件
审计策略：定义哪些事件需要被审计
审计分析：分析审计日志以发现异常
审计合规：确保审计符合法规要求

1.3 TiDB中的加密实现

TiDB支持多种加密方式，包括：

风哥提示：
# TiDB中的加密实现

## 1. 传输加密
– **SSL/TLS加密**：
– 用于客户端与TiDB服务器之间的通信加密
– 支持单向和双向认证
– 保护数据传输过程中的安全

## 2. 存储加密
– **TiKV数据加密**：
– 支持透明数据加密（TDE）
– 对存储在TiKV中的数据进行加密
– 保护静态数据的安全

## 3. 密钥管理
– **本地密钥管理**：
– 使用本地文件存储密钥
– 简单易配置
– 适合小型部署
– **KMS密钥管理**：
– 集成外部密钥管理服务
– 提供更高级的密钥管理功能
– 适合企业级部署

## 4. 加密算法
– **对称加密**：
– AES-256-GCM
– 用于数据加密
– **非对称加密**：
– RSA
– 用于密钥交换和签名
– **哈希函数**：
– SHA-256
– 用于数据完整性验证

## 5. 加密配置
– **TiDB配置**：
– 配置文件中的加密相关参数
– 如ssl-cert, ssl-key等
– **TiKV配置**：
– 配置文件中的加密相关参数
– 如security.encryption.enabled等
– **PD配置**：
– 配置文件中的加密相关参数
– 如ssl-enabled等

1.4 TiDB中的审计实现

TiDB支持审计功能，用于记录和监控系统活动：

# TiDB中的审计实现

## 1. 审计日志
– **审计日志格式**：
– JSON格式
– 包含时间戳、用户、操作、结果等信息
– 便于分析和处理

## 2. 审计事件类型
– **登录事件**：
– 登录成功
– 登录失败
– 连接断开
– **数据操作事件**：
– SELECT
– INSERT
– UPDATE
– DELETE
– **结构操作事件**：
– CREATE
– ALTER
– DROP
– **管理操作事件**：
– GRANT
– REVOKE
– CREATE USER

## 3. 审计配置
– **审计开关**：
– 启用/禁用审计功能
– 通过audit_log参数控制
– **审计事件配置**：
– 配置需要审计的事件类型
– 通过audit_log_include参数控制
– **审计日志存储**：
– 文件存储
– 支持日志轮转
– 可配置日志文件大小和数量

## 4. 审计分析
– **日志分析工具**：
– 第三方日志分析工具
– 如ELK、Splunk等
– **自定义分析脚本**：
– 基于审计日志格式编写分析脚本
– 用于监控异常行为
– **实时监控**：
– 实时监控审计日志
– 及时发现异常活动学习交流加群风哥QQ113257174

## 5. 审计合规
– **合规要求**：
– GDPR
– SOX
– PCI DSS
– **审计报告**：
– 生成合规审计报告
– 满足法规要求
– **审计保留**：
– 按法规要求保留审计日志
– 确保可追溯性

风哥提示：加密与审计是TiDB安全体系的重要组成部分，通过加密保护数据安全，通过审计监控系统活动，两者结合可以有效提升系统的安全性。学习交流加群风哥微信: itpux-com

Part02-生产环境规划与建议

2.1 加密规划

在生产环境中，加密的规划需要考虑以下因素：

# 加密规划

## 1. 考虑因素
– **业务需求**：
– 数据敏感程度
– 合规要求
– 性能影响
– **安全要求**：
– 数据传输安全
– 数据存储安全
– 密钥管理安全
– **管理便利性**：
– 密钥轮换
– 加密配置管理
– 故障恢复

## 2. 规划步骤
– **风险评估**：
评估数据安全风险
确定加密需求
– **方案设计**：
选择加密方式
设计密钥管理方案
– **实施计划**：
制定实施步骤
规划测试方案
– **运维计划**：
制定密钥管理流程
规划故障处理方案
– **合规检查**：
确保符合法规要求
准备审计证据

## 3. 规划原则
– **最小化性能影响**：
选择性能影响小的加密算法
合理配置加密参数
– **密钥安全**：
安全存储密钥
定期轮换密钥
– **可恢复性**：
确保密钥丢失后可恢复
制定灾难恢复计划
– **合规性**：
符合行业法规要求
满足审计需求

## 4. 规划工具
– **加密评估工具**：
评估加密对性能的影响
测试加密配置的有效性
– **密钥管理工具**：
管理密钥的生成、存储和轮换
提供密钥备份和恢复功能
– **合规检查工具**：
检查加密配置是否符合法规要求
生成合规报告

2.2 审计规划

在生产环境中，审计的规划需要考虑以下因素：

# 审计规划

## 1. 考虑因素
– **业务需求**：
– 审计范围
– 审计粒度
– 审计保留期限
– **安全要求**：
– 异常行为检测
– 合规要求
– 安全事件响应
– **管理便利性**：
– 审计日志管理
– 审计分析工具
– 审计报告生成

## 2. 规划步骤
– **需求分析**：
分析业务和合规需求
确定审计范围和粒度
– **方案设计**：
设计审计策略
选择审计日志存储方式
– **实施计划**：
制定实施步骤
规划测试方案
– **运维计划**：
制定审计日志管理流程
规划审计分析方案
– **合规检查**：
确保审计配置符合法规要求
准备审计证据

## 3. 规划原则
– **全面性**：
审计所有关键操作
确保无遗漏
– **准确性**：
确保审计日志的准确性
防止日志被篡改
– **可分析性**：
确保审计日志格式便于分析
支持自动化分析
– **合规性**：
符合行业法规要求
满足审计需求

## 4. 规划工具
– **审计配置工具**：
配置审计参数
测试审计功能
– **日志管理工具**：
管理审计日志的存储和轮转
提供日志备份和恢复功能
– **审计分析工具**：
分析审计日志
检测异常行为
生成审计报告

2.3 安全策略

安全策略是加密与审计实施的指导原则，需要考虑以下因素：

# 安全策略

## 1. 加密策略
– **传输加密**：
所有客户端连接必须使用SSL/TLS
配置合适的SSL/TLS版本和加密套件
定期更新SSL证书
– **存储加密**：
对敏感数据启用透明数据加密（TDE）
选择合适的加密算法和密钥长度
定期轮换加密密钥
– **密钥管理**：
使用KMS管理密钥
实施密钥备份和恢复机制
严格控制密钥访问权限

## 2. 审计策略
– **审计范围**：
审计所有登录和权限变更操作
审计所有数据操作和结构操作
审计所有管理操作
– **审计日志**：
配置审计日志存储位置和格式
启用日志轮转和压缩
定期备份审计日志
– **审计分析**：
定期分析审计日志
检测异常行为和安全事件
及时响应安全事件

## 3. 访问控制策略
– **最小权限原则**：
只授予用户必要的权限
定期审查和回收权限
– **多因素认证**：
对管理用户启用多因素认证
加强身份验证安全
– **网络访问控制**：
限制数据库访问网络范围
使用防火墙和VPN

## 4. 安全监控策略
– **实时监控**：
监控数据库访问和操作
检测异常行为
及时告警
– **定期安全检查**：
定期进行安全漏洞扫描
评估安全配置
修复安全问题
– **安全事件响应**：
制定安全事件响应计划
定期演练
及时处理安全事件

## 5. 合规策略
– **法规合规**：
了解并遵守相关法规要求
定期进行合规检查
准备合规审计
– **数据保护**：
实施数据分类和保护措施
确保数据安全
保护用户隐私
– **审计证据**：
保存完整的审计日志
确保审计日志的完整性和可追溯性
准备审计证据

Part03-生产环境项目实施方案

3.1 加密实施

3.1.1 传输加密实施

# 传输加密实施

## 1. 生成SSL证书
$ cd /tidb/app/tidb/conf

# 生成CA证书
$ openssl genrsa -out ca-key.pem 2048
$ openssl req -new -x509 -days 365 -key ca-key.pem -out ca.pem -subj “/CN=TiDB CA”

# 生成TiDB服务器证书
$ openssl genrsa -out server-key.pem 2048
$ openssl req -new -key server-key.pem -out server.csr -subj “/CN=192.168.1.10”
$ openssl x509 -req -days 365 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server.pem

# 生成客户端证书
$ openssl genrsa -out client-key.pem 2048
$ openssl req -new -key client-key.pem -out client.csr -subj “/CN=client”
$ openssl x509 -req -days 365 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out client.pem

## 2. 配置TiDB传输加密
$ vim /tidb/app/tidb/conf/tidb.toml

[security]
ssl-cert = “/tidb/app/tidb/conf/server.pem”
ssl-key = “/tidb/app/tidb/conf/server-key.pem”
ssl-ca = “/tidb/app/tidb/conf/ca.pem”
require-ssl = true

## 3. 配置TiKV传输加密
$ vim /tidb/app/tikv/conf/tikv.toml

[security]
ssl-cert = “/tidb/app/tikv/conf/server.pem”
ssl-key = “/tidb/app/tikv/conf/server-key.pem”
ssl-ca = “/tidb/app/tikv/conf/ca.pem”

## 4. 配置PD传输加密
$ vim /tidb/app/pd/conf/pd.toml

[security]
ssl-cert-file = “/tidb/app/pd/conf/server.pem”
ssl-key-file = “/tidb/app/pd/conf/server-key.pem”
ssl-ca-file = “/tidb/app/pd/conf/ca.pem”

## 5. 重启服务
$ systemctl restart pd
$ systemctl restart tikv
$ systemctl restart tidb

## 6. 验证传输加密
$ mysql -h 192.168.1.10 -P 4000 -u root –ssl-ca=/tidb/app/tidb/conf/ca.pem
–ssl-cert=/tidb/app/tidb/conf/client.pem –ssl-key=/tidb/app/tidb/conf/client-key.pem -e “SHOW STATUS LIKE
‘Ssl_cipher’;”

3.1.2 存储加密实施

# 存储加密实施

## 1. 配置TiKV存储加密
$ vim /tidb/app/tikv/conf/tikv.toml

[security.encryption]
enabled = true

# 本地密钥管理
[security.encryption.local]
key-file = “/tidb/app/tikv/conf/encryption.key”

## 2. 生成加密密钥
$ openssl rand -hex 32 > /tidb/app/tikv/conf/encryption.key
$ chmod 600 /tidb/app/tikv/conf/encryption.key

## 3. 重启TiKV服务
$ systemctl restart tikv

## 4. 验证存储加密
$ tikv-ctl status –host 192.168.1.20:20160 | grep encryption

# 输出示例
“encryption”: {
“enabled”: true,
“key_id”: “local”,
“status”: “ok”
}

## 5. 密钥轮换
$ # 生成新密钥
$ openssl rand -hex 32 > /tidb/app/tikv/conf/encryption.key.new
$ chmod 600 /tidb/app/tikv/conf/encryption.key.new

$ # 更新配置
$ vim /tidb/app/tikv/conf/tikv.toml

[security.encryption.local]
key-file = “/tidb/app/tikv/conf/encryption.key.new”

$ # 重启TiKV服务
$ systemctl restart tikv

$ # 验证密钥轮换
$ tikv-ctl status –host 192.168.1.20:20160 | grep encryption

# 输出示例
“encryption”: {
“enabled”: true,
“key_id”: “local”,
“status”: “ok”
}

3.2 审计实施

3.2.1 审计配置

# 审计配置

## 1. 配置审计日志
$ vim /tidb/app/tidb/conf/tidb.toml

[audit]
# 启用审计日志
audit_log = true
# 审计日志文件路径
audit_log_file = “/tidb/log/audit.log”
# 审计日志格式（json或plaintext）
audit_log_format = “json”
# 审计日志级别（info, warn, error）
audit_log_level = “info”
# 审计日志轮转大小（MB）
audit_log_rotate_size = 100
# 审计日志保留天数
audit_log_rotate_days = 7
# 审计日志最大保留个数
audit_log_rotate_keep = 10

## 2. 配置审计事件
$ vim /tidb/app/tidb/conf/tidb.toml

[audit]
# 包含的审计事件
audit_log_include = [“login”, “query”, “admin”]
# 排除的审计事件
audit_log_exclude = []

## 3. 重启TiDB服务
$ systemctl restart tidb

## 4. 验证审计配置
$ mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘audit%’;”

## 5. 查看审计日志
$ tail -f /tidb/log/audit.log

3.3 安全监控

3.3.1 安全监控配置

# 安全监控配置

## 1. 配置Prometheus监控
$ vim /tidb/app/prometheus/prometheus.yml

scrape_configs:
– job_name: ‘tidb’
static_configs:
– targets: [‘192.168.1.10:10080’]
– job_name: ‘tikv’
static_configs:
– targets: [‘192.168.1.20:20180’, ‘192.168.1.21:20180’, ‘192.168.1.22:20180’]
– job_name: ‘pd’
static_configs:
– targets: [‘192.168.1.10:2379’, ‘192.168.1.11:2379’, ‘192.168.1.12:2379’]

## 2. 配置Grafana告警
$ # 登录Grafana界面
$ # 创建告警规则，监控安全相关指标

## 3. 配置安全事件告警
$ vim /tidb/app/tidb/conf/tidb.toml

[security]
# 登录失败次数阈值
max-connections-per-user = 100
# 密码错误次数阈值
password-error-count = 3
# 密码错误锁定时间（分钟）
password-lock-time = 30

## 4. 配置审计日志监控
$ # 使用ELK或Splunk监控审计日志
$ # 配置告警规则，检测异常行为

## 5. 验证安全监控
$ # 检查Prometheus指标
$ curl http://192.168.1.10:9090/metrics | grep security

# 输出示例
# HELP tidb_security_ssl_connections_total Number of SSL connections
# TYPE tidb_security_ssl_connections_total counter
tidb_security_ssl_connections_total 100

# HELP tidb_security_login_failures_total Number of login failures
# TYPE tidb_security_login_failures_total counter
tidb_security_login_failures_total 5

风哥提示：加密与审计配置需要仔细规划和实施，确保数据安全和系统监控有效。from tidb视频:www.itpux.com

Part04-生产案例与实战讲解

4.1 加密配置实战

4.1.1 传输加密实战案例

# 传输加密实战案例

## 1. 环境信息
– **TiDB版本**：6.1.0
– **操作系统**：Oracle Linux 9.3
– **数据库**：fgedudb

## 2. 需求分析
– **安全要求**：所有客户端连接必须使用SSL/TLS加密
– **合规要求**：符合PCI DSS要求
– **性能要求**：加密对性能的影响最小化

## 3. 实施步骤

### 3.1 生成SSL证书
$ cd /tidb/app/tidb/conf

# 生成CA证书
$ openssl genrsa -out ca-key.pem 2048
$ openssl req -new -x509 -days 365 -key ca-key.pem -out ca.pem -subj “/CN=TiDB CA”

# 复制证书到其他组件
$ cp ca.pem server.pem server-key.pem /tidb/app/tikv/conf/
$ cp ca.pem server.pem server-key.pem /tidb/app/pd/conf/

### 3.2 配置传输加密

#### 3.2.1 配置TiDB
$ vim /tidb/app/tidb/conf/tidb.toml

[security]
ssl-cert = “/tidb/app/tidb/conf/server.pem”
ssl-key = “/tidb/app/tidb/conf/server-key.pem”
ssl-ca = “/tidb/app/tidb/conf/ca.pem”
require-ssl = true

#### 3.2.2 配置TiKV
$ vim /tidb/app/tikv/conf/tikv.toml

[security]
ssl-cert = “/tidb/app/tikv/conf/server.pem”
ssl-key = “/tidb/app/tikv/conf/server-key.pem”
ssl-ca = “/tidb/app/tikv/conf/ca.pem”

#### 3.2.3 配置PD
$ vim /tidb/app/pd/conf/pd.toml

[security]
ssl-cert-file = “/tidb/app/pd/conf/server.pem”
ssl-key-file = “/tidb/app/pd/conf/server-key.pem”
ssl-ca-file = “/tidb/app/pd/conf/ca.pem”

### 3.3 重启服务
$ systemctl restart pd
$ systemctl restart tikv
$ systemctl restart tidb

### 3.4 验证传输加密

#### 3.4.1 验证TiDB连接
$ mysql -h 192.168.1.10 -P 4000 -u root –ssl-ca=/tidb/app/tidb/conf/ca.pem
–ssl-cert=/tidb/app/tidb/conf/client.pem –ssl-key=/tidb/app/tidb/conf/client-key.pem -e “SHOW STATUS LIKE
‘Ssl_cipher’;”

#### 3.4.2 验证非SSL连接被拒绝
$ mysql -h 192.168.1.10 -P 4000 -u root –ssl-mode=DISABLED

# 输出示例
ERROR 2026 (HY000): SSL connection error: SSL is required but not supported

### 3.5 性能测试
$ # 使用sysbench测试加密对性能的影响
$ sysbench –db-driver=mysql –mysql-host=192.168.1.10 –mysql-port=4000 –mysql-user=root
–mysql-password=password –mysql-db=fgedudb –mysql-ssl-ca=/tidb/app/tidb/conf/ca.pem
–mysql-ssl-cert=/tidb/app/tidb/conf/client.pem –mysql-ssl-key=/tidb/app/tidb/conf/client-key.pem
–table_size=1000000 –tables=10 –threads=8 –time=60 oltp_read_write run

# 输出示例
SQL statistics:
queries performed:
read: 163840
write: 46810
other: 23405
total: 234055
transactions:
total: 11702 (195.00 per sec.)
queries: 234055 (3900.80 per sec.)
ignored errors: 0 (0.00 per sec.)
reconnects: 0 (0.00 per sec.)

## 4. 实施结果
– **SSL证书生成**：成功生成CA证书、服务器证书和客户端证书
– **传输加密配置**：成功配置TiDB、TiKV和PD的传输加密
– **服务重启**：所有服务重启成功
– **验证**：SSL连接成功，非SSL连接被拒绝
– **性能测试**：加密对性能的影响在可接受范围内

## 5. 常见问题处理
– **问题**：SSL连接失败
**原因**：证书配置错误、证书过期
**解决**：检查证书配置，确保证书有效

– **问题**：性能下降
**原因**：加密算法选择不当
**解决**：选择性能更好的加密算法，如TLS_AES_256_GCM_SHA384

– **问题**：证书管理困难
**原因**：证书数量多，过期管理复杂
**解决**：使用自动化工具管理证书，设置证书过期提醒

4.2 审计配置实战

4.2.1 审计配置实战案例

# 审计配置实战案例

## 1. 环境信息
– **TiDB版本**：6.1.0
– **操作系统**：Oracle Linux 9.3
– **数据库**：fgedudb

## 2. 需求分析
– **审计范围**：所有登录、数据操作和管理操作
– **合规要求**：符合GDPR要求
– **存储要求**：审计日志保留30天

## 3. 实施步骤

### 3.1 配置审计日志
$ vim /tidb/app/tidb/conf/tidb.toml

[audit]
audit_log = true
audit_log_file = “/tidb/log/audit.log”
audit_log_format = “json”
audit_log_level = “info”
audit_log_rotate_size = 100
audit_log_rotate_days = 30
audit_log_rotate_keep = 30
audit_log_include = [“login”, “query”, “admin”]
audit_log_exclude = []

### 3.2 重启TiDB服务
$ systemctl restart tidb

### 3.3 验证审计配置
$ mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘audit%’;”

### 3.4 测试审计功能

#### 3.4.1 测试登录审计
$ mysql -h 192.168.1.10 -P 4000 -u root -p
Enter password:
Welcome to the MySQL monitor. Commands end with ; or \g.

#### 3.4.2 测试数据操作审计
mysql> USE fgedudb;
mysql> SELECT * FROM fgedu_users;

#### 3.4.3 测试管理操作审计
mysql> CREATE USER ‘test_user’@’%’ IDENTIFIED BY ‘Test@123’;
mysql> GRANT SELECT ON fgedudb.* TO ‘test_user’@’%’;

### 3.5 查看审计日志
$ tail -f /tidb/log/audit.log

# 输出示例
{“time”:”2024-01-01T10:00:00Z”,”type”:”login”,”user”:”root”,”host”:”192.168.1.1″,”ip”:”192.168.1.1″,”status”:0,”sql”:””,”result”:”success”}
{“time”:”2024-01-01T10:00:01Z”,”type”:”query”,”user”:”root”,”host”:”192.168.1.1″,”ip”:”192.168.1.1″,”status”:0,”sql”:”USE
fgedudb”,”result”:”success”}
{“time”:”2024-01-01T10:00:02Z”,”type”:”query”,”user”:”root”,”host”:”192.168.1.1″,”ip”:”192.168.1.1″,”status”:0,”sql”:”SELECT
* FROM fgedu_users”,”result”:”success”}
{“time”:”2024-01-01T10:00:03Z”,”type”:”admin”,”user”:”root”,”host”:”192.168.1.1″,”ip”:”192.168.1.1″,”status”:0,”sql”:”CREATE
USER ‘test_user’@’%’ IDENTIFIED BY ‘Test@123′”,”result”:”success”}
{“time”:”2024-01-01T10:00:04Z”,”type”:”admin”,”user”:”root”,”host”:”192.168.1.1″,”ip”:”192.168.1.1″,”status”:0,”sql”:”GRANT
SELECT ON fgedudb.* TO ‘test_user’@’%'”,”result”:”success”}

### 3.6 配置审计日志监控
$ # 使用ELK监控审计日志
$ # 配置告警规则，检测异常登录和操作

## 4. 实施结果
– **审计配置**：成功配置审计日志参数
– **服务重启**：TiDB服务重启成功
– **验证**：审计日志正常生成，包含登录、数据操作和管理操作
– **监控**：审计日志监控配置完成

## 5. 常见问题处理
– **问题**：审计日志不生成
**原因**：审计配置错误、权限不足
**解决**：检查审计配置，确保日志文件路径有写权限

– **问题**：审计日志过大
**原因**：审计范围过大、日志轮转配置不当
**解决**：调整审计范围，优化日志轮转配置

– **问题**：审计日志分析困难
**原因**：日志格式复杂、缺乏分析工具
**解决**：使用ELK或Splunk等工具分析审计日志

4.3 安全故障处理

加密与审计配置过程中的故障处理：

# 安全故障处理

## 1. 加密相关故障

### 1.1 SSL连接失败
– **问题描述**：客户端无法通过SSL连接到TiDB
– **原因分析**：证书配置错误、证书过期、网络问题
– **解决方案**：
– 检查证书配置：
$ ls -la /tidb/app/tidb/conf/*.pem
– 检查证书有效期：
$ openssl x509 -in /tidb/app/tidb/conf/server.pem -noout -dates
– 检查网络连接：
$ telnet 192.168.1.10 4000
– 检查TiDB日志：
$ tail -f /tidb/log/tidb.log

### 1.2 存储加密失败
– **问题描述**：TiKV存储加密启用失败
– **原因分析**：密钥文件不存在、权限不足、配置错误
– **解决方案**：
– 检查密钥文件：
$ ls -la /tidb/app/tikv/conf/encryption.key
– 检查密钥文件权限：
$ chmod 600 /tidb/app/tikv/conf/encryption.key
– 检查TiKV配置：
$ grep -A 10 “encryption” /tidb/app/tikv/conf/tikv.toml
– 检查TiKV日志：
$ tail -f /tidb/log/tikv.log

### 1.3 密钥丢失
– **问题描述**：加密密钥丢失，无法解密数据
– **原因分析**：密钥文件被删除、备份丢失
– **解决方案**：
– 从备份恢复密钥：
$ cp /tidb/backup/encryption.key /tidb/app/tikv/conf/
– 重建集群：
如果密钥无法恢复，需要重建集群并从备份恢复数据

## 2. 审计相关故障

### 2.1 审计日志不生成
– **问题描述**：审计日志文件未生成或为空
– **原因分析**：审计配置错误、权限不足、磁盘空间不足
– **解决方案**：
– 检查审计配置：
$ mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘audit%’;”
– 检查日志文件权限：
$ ls -la /tidb/log/
– 检查磁盘空间：
$ df -h
– 检查TiDB日志：
$ tail -f /tidb/log/tidb.log

### 2.2 审计日志过大
– **问题描述**：审计日志文件过大，占用大量磁盘空间
– **原因分析**：审计范围过大、日志轮转配置不当
– **解决方案**：
– 调整审计范围：
$ vim /tidb/app/tidb/conf/tidb.toml
[audit]
audit_log_include = [“login”, “admin”]
– 优化日志轮转配置：
$ vim /tidb/app/tidb/conf/tidb.toml
[audit]
audit_log_rotate_size = 50
audit_log_rotate_days = 7
– 清理旧日志：
$ find /tidb/log -name “audit.log.*” -mtime +7 -delete

### 2.3 审计日志分析失败
– **问题描述**：审计日志分析工具无法解析日志
– **原因分析**：日志格式错误、日志损坏
– **解决方案**：
– 检查日志格式：
$ head -n 1 /tidb/log/audit.log
– 验证JSON格式：
$ jq . /tidb/log/audit.log
– 修复损坏的日志：
移除损坏的日志文件，重启TiDB生成新日志

## 3. 安全监控故障

### 3.1 安全告警未触发
– **问题描述**：安全事件发生但未触发告警
– **原因分析**：告警规则配置错误、监控系统故障
– **解决方案**：
– 检查告警规则：
登录Grafana检查告警规则配置
– 检查监控系统：
$ systemctl status prometheus grafana
– 测试告警触发：
模拟安全事件，验证告警是否触发

### 3.2 误报过多
– **问题描述**：安全告警频繁触发，大部分为误报
– **原因分析**：告警阈值设置过低、规则过于敏感
– **解决方案**：
– 调整告警阈值：
提高登录失败次数阈值
– 优化告警规则：
增加时间窗口，减少误报
– 排除正常行为：
在告警规则中排除已知的正常行为

### 3.3 监控数据丢失
– **问题描述**：安全监控数据丢失
– **原因分析**：监控系统故障、数据存储问题
– **解决方案**：
– 检查监控系统：
$ systemctl status prometheus
– 检查数据存储：
$ df -h /tidb/app/prometheus/data
– 恢复监控数据：
从备份恢复监控数据

## 4. 其他安全故障

### 4.1 密码策略不生效
– **问题描述**：密码策略设置后不生效
– **原因分析**：配置错误、插件未加载
– **解决方案**：
– 检查密码策略配置：
$ mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘validate_password%’;”
– 检查插件加载：
$ mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW PLUGINS;”
– 重新加载插件：
$ mysql -h 192.168.1.10 -P 4000 -u root -e “INSTALL PLUGIN validate_password SONAME ‘validate_password.so’;”

### 4.2 账户锁定问题
– **问题描述**：用户账户被锁定，无法登录
– **原因分析**：密码错误次数过多、锁定时间过长
– **解决方案**：
– 解锁账户：
$ mysql -h 192.168.1.10 -P 4000 -u root -e “ALTER USER ‘user_name’@’%’ ACCOUNT UNLOCK;”
– 调整锁定策略：
$ vim /tidb/app/tidb/conf/tidb.toml
[security]
password-error-count = 5
password-lock-time = 15

### 4.3 权限提升攻击
– **问题描述**：检测到权限提升攻击
– **原因分析**：权限配置不当、漏洞利用
– **解决方案**：
– 检查权限变更：
$ grep -i “grant” /tidb/log/audit.log
– 撤销异常权限：
$ mysql -h 192.168.1.10 -P 4000 -u root -e “REVOKE ALL PRIVILEGES ON *.* FROM ‘suspicious_user’@’%’;”
– 加强权限管理：
实施最小权限原则，定期审查权限

Part05-风哥经验总结与分享

5.1 安全最佳实践

加密与审计配置的最佳实践：

加密最佳实践：

传输加密：所有客户端连接必须使用SSL/TLS加密
存储加密：对敏感数据启用透明数据加密（TDE）
密钥管理：使用KMS管理密钥，定期轮换密钥
证书管理：定期更新SSL证书，设置证书过期提醒
性能优化：选择性能更好的加密算法，合理配置加密参数

审计最佳实践：

审计范围：审计所有登录、数据操作和管理操作
日志管理：配置合理的日志轮转和保留策略
日志分析：使用ELK或Splunk等工具分析审计日志
告警配置：配置告警规则，及时发现异常行为
合规性：确保审计配置符合法规要求

安全监控最佳实践：

实时监控：实时监控数据库访问和操作
告警管理：配置合理的告警规则，减少误报
安全扫描：定期进行安全漏洞扫描
事件响应：制定安全事件响应计划，定期演练
安全培训：对数据库管理员进行安全培训

5.2 常见安全问题与解决方案

加密与审计配置的常见问题与解决方案：

# 常见安全问题与解决方案

## 1. 加密相关问题

### 1.1 SSL证书管理问题
– **问题**：SSL证书过期、证书配置错误
– **解决**：
– 设置证书过期提醒
– 使用自动化工具管理证书
– 定期检查证书配置

### 1.2 密钥管理问题
– **问题**：密钥丢失、密钥泄露
– **解决**：
– 实施密钥备份和恢复机制
– 使用KMS管理密钥
– 严格控制密钥访问权限

### 1.3 性能问题
– **问题**：加密对性能的影响
– **解决**：
– 选择性能更好的加密算法
– 合理配置加密参数
– 对非敏感数据考虑不加密

## 2. 审计相关问题

### 2.1 审计日志管理问题
– **问题**：审计日志过大、日志存储不足
– **解决**：
– 调整审计范围
– 优化日志轮转配置
– 使用日志压缩和归档

### 2.2 审计分析问题
– **问题**：审计日志分析困难、异常行为检测不准确
– **解决**：
– 使用专业的日志分析工具
– 配置合理的告警规则
– 定期人工分析审计日志

### 2.3 合规问题
– **问题**：审计配置不符合法规要求
– **解决**：
– 了解相关法规要求
– 调整审计配置以符合要求
– 定期进行合规检查

## 3. 安全监控问题

### 3.1 告警问题
– **问题**：告警过多、误报频繁
– **解决**：
– 调整告警阈值
– 优化告警规则
– 排除正常行为

### 3.2 监控覆盖问题
– **问题**：监控覆盖不全、关键指标未监控
– **解决**：
– 全面梳理监控需求
– 增加监控指标
– 定期检查监控覆盖情况

### 3.3 监控系统故障
– **问题**：监控系统不可用、数据丢失
– **解决**：
– 实施监控系统高可用
– 定期备份监控数据
– 监控监控系统本身

## 4. 其他安全问题

### 4.1 权限管理问题
– **问题**：权限配置不当、权限泄露
– **解决**：
– 实施最小权限原则
– 定期审查和回收权限
– 使用角色管理权限

### 4.2 账户安全问题
– **问题**：弱密码、账户锁定
– **解决**：
– 实施强密码策略
– 配置合理的账户锁定策略
– 启用多因素认证

### 4.3 网络安全问题
– **问题**：网络访问控制不当、网络攻击
– **解决**：
– 限制数据库访问网络范围
– 使用防火墙和VPN
– 定期进行网络安全扫描

5.3 安全配置技巧

加密与审计配置的实用技巧：

# 安全配置技巧

## 1. 加密配置技巧

### 1.1 SSL证书自动化管理
– **自动化证书管理**：
#!/bin/bash
# manage_ssl_certs.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: `http://www.fgedu.net.cn`

# 生成CA证书
openssl genrsa -out /tidb/app/tidb/conf/ca-key.pem 2048
openssl req -new -x509 -days 365 -key /tidb/app/tidb/conf/ca-key.pem -out /tidb/app/tidb/conf/ca.pem -subj
“/CN=TiDB CA”

# 生成服务器证书
openssl genrsa -out /tidb/app/tidb/conf/server-key.pem 2048
openssl req -new -key /tidb/app/tidb/conf/server-key.pem -out /tidb/app/tidb/conf/server.csr -subj
“/CN=192.168.1.10”
openssl x509 -req -days 365 -in /tidb/app/tidb/conf/server.csr -CA /tidb/app/tidb/conf/ca.pem -CAkey
/tidb/app/tidb/conf/ca-key.pem -CAcreateserial -out /tidb/app/tidb/conf/server.pem

# 生成客户端证书
openssl genrsa -out /tidb/app/tidb/conf/client-key.pem 2048
openssl req -new -key /tidb/app/tidb/conf/client-key.pem -out /tidb/app/tidb/conf/client.csr -subj “/CN=client”
openssl x509 -req -days 365 -in /tidb/app/tidb/conf/client.csr -CA /tidb/app/tidb/conf/ca.pem -CAkey
/tidb/app/tidb/conf/ca-key.pem -CAcreateserial -out /tidb/app/tidb/conf/client.pem

# 复制证书到其他组件
cp /tidb/app/tidb/conf/ca.pem /tidb/app/tidb/conf/server.pem /tidb/app/tidb/conf/server-key.pem
/tidb/app/tikv/conf/
cp /tidb/app/tidb/conf/ca.pem /tidb/app/tidb/conf/server.pem /tidb/app/tidb/conf/server-key.pem /tidb/app/pd/conf/

# 设置权限
chmod 600 /tidb/app/tidb/conf/*.pem
chmod 600 /tidb/app/tikv/conf/*.pem
chmod 600 /tidb/app/pd/conf/*.pem

### 1.2 存储加密配置
– **存储加密配置**：
#!/bin/bash
# configure_encryption.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: `http://www.fgedu.net.cn`

# 生成加密密钥
openssl rand -hex 32 > /tidb/app/tikv/conf/encryption.key
chmod 600 /tidb/app/tikv/conf/encryption.key

# 配置TiKV存储加密
cat >> /tidb/app/tikv/conf/tikv.toml << EOF [security.encryption] enabled=true [security.encryption.local] key-file="/tidb/app/tikv/conf/encryption.key" EOF # 重启TiKV服务 systemctl restart tikv # 验证存储加密 tikv-ctl status --host 192.168.1.20:20160 | grep encryption ### 1.3 密钥轮换 - **密钥轮换**： #!/bin/bash # rotate_encryption_key.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 生成新密钥 openssl rand -hex 32>
/tidb/app/tikv/conf/encryption.key.new
chmod 600 /tidb/app/tikv/conf/encryption.key.new

# 备份旧密钥
cp /tidb/app/tikv/conf/encryption.key /tidb/backup/encryption.key.$(date +%Y%m%d)

# 更新配置
sed -i ‘s/encryption.key/encryption.key.new/g’ /tidb/app/tikv/conf/tikv.toml

# 重启TiKV服务
systemctl restart tikv

# 验证密钥轮换
tikv-ctl status –host 192.168.1.20:20160 | grep encryption

# 更新密钥文件
mv /tidb/app/tikv/conf/encryption.key.new /tidb/app/tikv/conf/encryption.key
sed -i ‘s/encryption.key.new/encryption.key/g’ /tidb/app/tikv/conf/tikv.toml
systemctl restart tikv

## 2. 审计配置技巧

### 2.1 审计日志配置
– **审计日志配置**：
#!/bin/bash
# configure_audit.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: `http://www.fgedu.net.cn`

# 配置审计日志
cat >> /tidb/app/tidb/conf/tidb.toml << EOF [audit] audit_log=true audit_log_file="/tidb/log/audit.log" audit_log_format="json" audit_log_level="info" audit_log_rotate_size=100 audit_log_rotate_days=30 audit_log_rotate_keep=30 audit_log_include=["login", "query" , "admin" ] audit_log_exclude=[] EOF # 确保日志目录存在 mkdir -p /tidb/log # 重启TiDB服务 systemctl restart tidb # 验证审计配置 mysql -h 192.168.1.10 -P 4000 -u root -e "SHOW VARIABLES LIKE 'audit%';" ### 2.2 审计日志分析 - **审计日志分析**： #!/bin/bash # analyze_audit_log.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 分析登录失败 echo "=== Login Failures ===" grep -i "login" /tidb/log/audit.log | grep -i "fail" # 分析权限变更 echo "=== Permission Changes ===" grep -i "grant\|revoke" /tidb/log/audit.log # 分析数据操作 echo "=== Data Operations ===" grep -i "query" /tidb/log/audit.log | grep -i "insert\|update\|delete" # 分析异常行为 echo "=== Abnormal Behavior ===" grep -i "error\|fail" /tidb/log/audit.log ### 2.3 审计日志清理 - **审计日志清理**： #!/bin/bash # clean_audit_logs.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 清理30天前的审计日志 find /tidb/log -name "audit.log.*" -mtime +30 -delete # 检查磁盘空间 echo "=== Disk Usage ===" df -h /tidb/log # 压缩最近的审计日志 gzip /tidb/log/audit.log.* ## 3. 安全监控技巧 ### 3.1 安全监控配置 - **安全监控配置**： #!/bin/bash # configure_security_monitoring.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 配置Prometheus监控 cat>
/tidb/app/prometheus/prometheus.yml << EOF global: scrape_interval: 15s scrape_configs: - job_name: 'tidb' static_configs: - targets: ['192.168.1.10:10080'] - job_name: 'tikv' static_configs: - targets: ['192.168.1.20:20180', '192.168.1.21:20180' , '192.168.1.22:20180' ] - job_name: 'pd' static_configs: - targets: ['192.168.1.10:2379', '192.168.1.11:2379' , '192.168.1.12:2379' ] EOF # 重启Prometheus服务 systemctl restart prometheus # 配置Grafana告警 echo "请登录Grafana界面配置安全相关告警规则" ### 3.2 安全事件响应 - **安全事件响应**： #!/bin/bash # security_incident_response.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 检测安全事件 echo "=== Security Incident Detection ===" # 检查登录失败 login_failures=$(grep -i "login" /tidb/log/audit.log | grep -i "fail" | wc -l) if [ $login_failures -gt 5 ]; then echo "警告：检测到多次登录失败，可能存在暴力破解攻击" fi # 检查权限变更 permission_changes=$(grep -i "grant\|revoke" /tidb/log/audit.log | wc -l) if [ $permission_changes -gt 0 ]; then echo "警告：检测到权限变更，需要审核" fi # 检查异常数据操作 abnormal_ops=$(grep -i "query" /tidb/log/audit.log | grep -i "delete\|drop" | wc -l) if [ $abnormal_ops -gt 10 ]; then echo "警告：检测到大量删除或删除操作，可能存在数据泄露风险" fi # 生成安全事件报告 echo "=== Security Incident Report ===">
/tidb/reports/security_incident_$(date +%Y%m%d).txt
echo “Date: $(date)” >> /tidb/reports/security_incident_$(date +%Y%m%d).txt
echo “Login Failures: $login_failures” >> /tidb/reports/security_incident_$(date +%Y%m%d).txt
echo “Permission Changes: $permission_changes” >> /tidb/reports/security_incident_$(date +%Y%m%d).txt
echo “Abnormal Operations: $abnormal_ops” >> /tidb/reports/security_incident_$(date +%Y%m%d).txt

echo “安全事件检测完成，报告已保存到 /tidb/reports/security_incident_$(date +%Y%m%d).txt”

### 3.3 安全扫描
– **安全扫描**：
#!/bin/bash
# security_scan.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: `http://www.fgedu.net.cn`

# 检查SSL配置
echo “=== SSL Configuration Check ===”
openssl s_client -connect 192.168.1.10:4000 -CAfile /tidb/app/tidb/conf/ca.pem | grep -A 5 “SSL-Session”

# 检查密码策略
echo “=== Password Policy Check ===”
mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘validate_password%’;”

# 检查用户权限
echo “=== User Permission Check ===”
mysql -h 192.168.1.10 -P 4000 -u root -e “SELECT user, host FROM mysql.user;”

# 检查审计配置
echo “=== Audit Configuration Check ===”
mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘audit%’;”

# 生成安全扫描报告
echo “=== Security Scan Report ===” > /tidb/reports/security_scan_$(date +%Y%m%d).txt
echo “Date: $(date)” >> /tidb/reports/security_scan_$(date +%Y%m%d).txt
echo “SSL Configuration: ” >> /tidb/reports/security_scan_$(date +%Y%m%d).txt
openssl s_client -connect 192.168.1.10:4000 -CAfile /tidb/app/tidb/conf/ca.pem | grep -A 5 “SSL-Session” >>
/tidb/reports/security_scan_$(date +%Y%m%d).txt
echo “Password Policy: ” >> /tidb/reports/security_scan_$(date +%Y%m%d).txt
mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘validate_password%’;” >>
/tidb/reports/security_scan_$(date +%Y%m%d).txt
echo “User Permissions: ” >> /tidb/reports/security_scan_$(date +%Y%m%d).txt
mysql -h 192.168.1.10 -P 4000 -u root -e “SELECT user, host FROM mysql.user;” >>
/tidb/reports/security_scan_$(date +%Y%m%d).txt
echo “Audit Configuration: ” >> /tidb/reports/security_scan_$(date +%Y%m%d).txt
mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘audit%’;” >>
/tidb/reports/security_scan_$(date +%Y%m%d).txt

echo “安全扫描完成，报告已保存到 /tidb/reports/security_scan_$(date +%Y%m%d).txt”

## 4. 其他安全配置技巧

### 4.1 密码策略配置
– **密码策略配置**：
#!/bin/bash
# configure_password_policy.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: `http://www.fgedu.net.cn`

# 启用密码验证插件
mysql -h 192.168.1.10 -P 4000 -u root -e “INSTALL PLUGIN validate_password SONAME ‘validate_password.so’;”

# 配置密码策略
mysql -h 192.168.1.10 -P 4000 -u root -e “SET GLOBAL validate_password_length = 8;”
mysql -h 192.168.1.10 -P 4000 -u root -e “SET GLOBAL validate_password_policy = ‘MEDIUM’;”
mysql -h 192.168.1.10 -P 4000 -u root -e “SET GLOBAL validate_password_mixed_case_count = 1;”
mysql -h 192.168.1.10 -P 4000 -u root -e “SET GLOBAL validate_password_number_count = 1;”
mysql -h 192.168.1.10 -P 4000 -u root -e “SET GLOBAL validate_password_special_char_count = 1;”

# 验证密码策略
mysql -h 192.168.1.10 -P 4000 -u root -e “SHOW VARIABLES LIKE ‘validate_password%’;”

### 4.2 账户锁定配置
– **账户锁定配置**：
#!/bin/bash
# configure_account_lock.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: `http://www.fgedu.net.cn`

# 配置账户锁定策略
mysql -h 192.168.1.10 -P 4000 -u root -e “SET GLOBAL max_connect_errors = 10;”

# 配置密码错误次数阈值
cat >> /tidb/app/tidb/conf/tidb.toml << EOF [security] password-error-count=5 password-lock-time=15 EOF # 重启TiDB服务 systemctl restart tidb # 验证账户锁定配置 mysql -h 192.168.1.10 -P 4000 -u root -e "SHOW VARIABLES LIKE 'max_connect_errors';" ### 4.3 网络访问控制 - **网络访问控制**： #!/bin/bash # configure_network_access.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 配置防火墙规则 firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="4000" protocol="tcp" accept' firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="2379" protocol="tcp" accept' firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="20160" protocol="tcp" accept' firewall-cmd --reload # 验证防火墙规则 firewall-cmd --list-all ### 4.4 安全加固 - **安全加固**： #!/bin/bash # security_hardening.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 禁用不必要的用户 mysql -h 192.168.1.10 -P 4000 -u root -e "DELETE FROM mysql.user WHERE user NOT IN ('root', 'mysql.sys', 'mysql.session');" # 限制root用户访问 mysql -h 192.168.1.10 -P 4000 -u root -e "RENAME USER 'root'@'%' TO 'root'@'192.168.1.%';" # 刷新权限 mysql -h 192.168.1.10 -P 4000 -u root -e "FLUSH PRIVILEGES;" # 验证安全加固 mysql -h 192.168.1.10 -P 4000 -u root -e "SELECT user, host FROM mysql.user;" ## 5. 安全自动化管理 ### 5.1 安全配置自动化 - **安全配置自动化**： #!/bin/bash # security_automation.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 执行SSL证书管理 bash /tidb/scripts/manage_ssl_certs.sh # 执行存储加密配置 bash /tidb/scripts/configure_encryption.sh # 执行审计配置 bash /tidb/scripts/configure_audit.sh # 执行安全监控配置 bash /tidb/scripts/configure_security_monitoring.sh # 执行密码策略配置 bash /tidb/scripts/configure_password_policy.sh # 执行账户锁定配置 bash /tidb/scripts/configure_account_lock.sh # 执行网络访问控制 bash /tidb/scripts/configure_network_access.sh # 执行安全加固 bash /tidb/scripts/security_hardening.sh echo "安全配置自动化完成" ### 5.2 安全审计自动化 - **安全审计自动化**： #!/bin/bash # security_audit_automation.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 执行审计日志分析 bash /tidb/scripts/analyze_audit_log.sh # 执行安全事件响应 bash /tidb/scripts/security_incident_response.sh # 执行安全扫描 bash /tidb/scripts/security_scan.sh # 执行审计日志清理 bash /tidb/scripts/clean_audit_logs.sh echo "安全审计自动化完成" ### 5.3 安全监控自动化 - **安全监控自动化**： #!/bin/bash # security_monitoring_automation.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 检查Prometheus状态 systemctl status prometheus # 检查Grafana状态 systemctl status grafana-server # 检查监控数据 curl http://192.168.1.10:9090/metrics | grep security # 生成监控报告 echo "=== Security Monitoring Report ==="> /tidb/reports/security_monitoring_$(date
+%Y%m%d).txt
echo “Date: $(date)” >> /tidb/reports/security_monitoring_$(date +%Y%m%d).txt
echo “Prometheus Status: ” >> /tidb/reports/security_monitoring_$(date +%Y%m%d).txt
systemctl status prometheus >> /tidb/reports/security_monitoring_$(date +%Y%m%d).txt
echo “Grafana Status: ” >> /tidb/reports/security_monitoring_$(date +%Y%m%d).txt
systemctl status grafana-server >> /tidb/reports/security_monitoring_$(date +%Y%m%d).txt
echo “Security Metrics: ” >> /tidb/reports/security_monitoring_$(date +%Y%m%d).txt
curl http://192.168.1.10:9090/metrics | grep security >> /tidb/reports/security_monitoring_$(date
+%Y%m%d).txt

echo “安全监控自动化完成，报告已保存到 /tidb/reports/security_monitoring_$(date +%Y%m%d).txt”

风哥提示：加密与审计是TiDB安全体系的重要组成部分，通过合理配置和管理，可以有效提升系统的安全性，满足合规要求。更多视频教程www.fgedu.net.cn

本文由风哥教程整理发布,仅用于学习测试使用,转载注明出处:http://www.fgedu.net.cn/10327.html