0

背景・やりたい事

現在SQL Serverの監査機能を使用して監査ログ(FAILED_LOGIN_GROUP, SUCCESSFUL_LOGIN_GROUP, LOGOUT_GROUP)を出力しているのですが、出力項目が多すぎてログサイズが肥大化してしまっています。
そこで、監査ログに出力されるデータの、出力カラムをいくつか指定することで、そのカラムのみを出力対象とする(あるいは出力対象から外す)ようにしたいと考えています。
上記のようなことは可能なのでしょうか?

例えば、以下ドキュメント:
https://docs.microsoft.com/ja-jp/sql/relational-databases/system-functions/sys-fn-get-audit-file-transact-sql?view=sql-server-ver15
にて示されている項目一覧のうち、ログイン・ログアウトの時刻とそれが成功したかどうかさえ分かれば良いのでevent_timeaction_idのみを出力対象とする、と言った具合です。
(あくまで例示のため、出力対象の妥当性についてはここでは無視してください)

調べたこと

調査の結果、以下のMicrosoftドキュメント:
https://docs.microsoft.com/ja-jp/sql/relational-databases/security/auditing/create-a-server-audit-and-server-audit-specification?view=sql-server-ver15
にある通り、フィルターに何か条件を設定してやれば上手いことできるかもしれないというところまでは分かっています。
フィルターを使ったログ容量削減の方法としては、出力行を削減する(監査対象のユーザーを絞り込む)という考えもあるかと思いますが、それと併用してさらに容量を削減したい、という意図になります。

また、以下のドキュメント:
https://docs.microsoft.com/ja-jp/sql/t-sql/statements/create-server-audit-transact-sql?view=sql-server-ver15
にあるように、SQL文としてはWHERE句を用いて条件指定をしているようなので、あるいは今回の質問は
WHERE句内で表内の特定のカラムを指定して出力対象とする(あるいは出力対象から外す)ことはできますか?
と言い換えることが出来るかもしれません。
言い換えできないかもしれません。 SQL Serverの内部仕様には明るくないため、間違っている、といった場合は上の一文は無視してください。

1 件の回答 1

0

ご認識のとおり、カラムを指定しての制限はできないですね、、、

1
  • 「できないかも」という文言に対して「ご認識のとおり」としていただいたと思うのですが、そこは「言い換えできないかも」の意味でした。。誤解を招く表現のため修正します。しかし、カラム指定はできないのですね、残念です…
    – gurasse
    Commented 2022年5月18日 12:00

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。