pgaudit

概览

pg15=pgaudit17, pg14=pgaudit16

版本

安装

您可以直接安装 pgaudit 扩展包的预置二进制包，首先确保 PGDG 仓库已经添加并启用：

pig repo add pgdg -u          # 添加 PGDG 仓库并更新缓存

使用 pig 或者是 apt/yum/dnf 安装扩展：

pig install pgaudit;          # 当前活跃 PG 版本安装

pig ext install -y pgaudit -v 18  # PG 18
pig ext install -y pgaudit -v 17  # PG 17
pig ext install -y pgaudit -v 16  # PG 16
pig ext install -y pgaudit -v 15  # PG 15
pig ext install -y pgaudit -v 14  # PG 14

dnf install -y pgaudit_18       # PG 18
dnf install -y pgaudit_17       # PG 17
dnf install -y pgaudit_16       # PG 16
dnf install -y pgaudit_15       # PG 15
dnf install -y pgaudit_14       # PG 14

apt install -y postgresql-18-pgaudit   # PG 18
apt install -y postgresql-17-pgaudit   # PG 17
apt install -y postgresql-16-pgaudit   # PG 16
apt install -y postgresql-15-pgaudit   # PG 15
apt install -y postgresql-14-pgaudit   # PG 14

预加载配置：

shared_preload_libraries = 'pgaudit';

创建扩展：

CREATE EXTENSION pgaudit;

用法

来源：

• pgAudit 18.0 README
• PostgreSQL 19 预览版
• 预览版控制文件

pgaudit 通过 PostgreSQL 日志记录会话和对象审计事件。应选择匹配服务器的分支：PostgreSQL 18 对应 18.x，17 对应 17.x，16 对应 16.x，15 对应 1.7.x，14 对应 1.6.x。上游 19rc1 是面向 PostgreSQL 19 的预览版，SQL 版本为 19.0；目录中的打包版本仍为稳定的 18.0。

启用审计

将 pgaudit 加入 shared_preload_libraries 并重启服务器，再以超级用户创建扩展，之后才能设置 pgaudit.log：

CREATE EXTENSION pgaudit;

只有超级用户能修改审计设置。应规划并保护日志卷：SQL 文本和参数可能含敏感信息，广泛记录会占用大量磁盘。扩展提供审计记录，但本身并不等于满足合规要求。

配置参数

会话审计日志

记录所有 DML 和 DDL，按关系详细记录：

SET pgaudit.log = 'write, ddl';
SET pgaudit.log_relation = on;

记录除杂项命令外的所有内容：

SET pgaudit.log = 'all, -misc';

输出示例：

AUDIT: SESSION,1,1,DDL,CREATE TABLE,TABLE,public.account,create table account(...)
AUDIT: SESSION,2,1,READ,SELECT,,,select * from account

对象审计日志

向审计角色授予权限以控制记录哪些关系：

SET pgaudit.role = 'auditor';

GRANT SELECT, DELETE
   ON public.account
   TO auditor;

现在对 account 表的任何 SELECT 或 DELETE 操作都会被审计记录。

日志格式

条目为 CSV 格式，包含以下字段：AUDIT_TYPE、STATEMENT_ID、SUBSTATEMENT_ID、CLASS、COMMAND、OBJECT_TYPE、OBJECT_NAME、STATEMENT、PARAMETER。