MySQL Enterprise Audit审计功能开启与配置方法

在开启 MySQL 审计功能之前，需要先确认一个关键前提：audit_log 插件仅适用于 MySQL 企业版，社区版即使执行 INSTALL PLUGIN，大多数情况下也会直接报错。更稳妥、也更符合规范的做法，是先通过 SELECT @@version, @@version_comment 检查当前版本信息中是否包含 commercial 或 Enterprise 标识，然后再进一步确认 plugin_dir 目录下是否真实存在 audit_log.so 文件。

确认 MySQL 是否为企业版

MySQL 社区版并不提供 audit_log 插件，如果强制执行 INSTALL PLUGIN audit_log SONAME 'audit_log.so'，通常会报错 Plugin 'audit_log' is not loaded，或者直接安装失败。因此，第一步必须先核实当前是否为 MySQL 企业版：

登录 MySQL 后执行：
SELECT @@version, @@version_comment;

查询结果中应包含 commercial、Enterprise 或 GPL-commercial 等字样；如果显示的是 Community，或者完全没有商业版本标识，就说明当前不是企业版，无法使用原生的 audit_log 审计插件。

加载 audit_log 插件的两种方式

插件文件 audit_log.so（Linux）或 audit_log.dll（Windows）通常会随 MySQL 企业版一同安装，默认位于 plugin_dir 目录下。可以先通过下面的命令确认插件目录路径：

SHOW VARIABLES LIKE 'plugin_dir';

MySQL Enterprise Audit 插件的加载方式主要有两种：

• 配置文件加载（推荐，重启后生效）：在 my.cnf 的 [mysqld] 段中加入
  plugin-load = audit_log.so
  注意：不要误写成 audit_log=ON —— 这是常见的旧写法错误，实际上不会生效
• 运行时加载（适合临时测试）：
  INSTALL PLUGIN audit_log SONAME 'audit_log.so';
  安装成功后，可通过 SHOW PLUGINS; 查看，确认 audit_log 的状态为 ACTIVE

如果出现 Can't open shared library 错误，常见原因包括：插件文件不存在、文件权限不足（MySQL 运行用户需要对 so/dll 文件具备读和执行权限），或者系统架构不匹配，例如将 x86_64 插件用于 arm64 版本的 MySQL。

关键参数必须通过配置文件设置

audit_log 插件的大多数参数和行为，不能通过 SET GLOBAL 在线动态调整，而是必须写入 my.cnf 配置文件并重启 MySQL 才能真正生效：

• audit_log_format = JSON（推荐）或 OLD（纯文本格式，字段较少，现已弃用）
• audit_log_policy = ALL（记录全部审计事件）、LOGINS（仅记录登录连接）或 QUERIES（仅记录 SQL 执行）
• audit_log_file = /var/log/mysql/audit.log：需确保目标目录已存在，且 MySQL 用户具备写权限，否则 MySQL 启动时可能失败
• audit_log_include_accounts = 'admin@localhost,app@10.%.%.%'：用于设置白名单，避免对全部账户做审计，从而降低性能压力
• audit_log_exclude_accounts = 'monitor@%'：用于排除监控账号，减少无意义日志噪音

错误示例：SET GLOBAL audit_log_policy = 'ALL'; 在 MySQL 5.7 及以上企业版中不会生效，因为该变量是只读的，执行修改也无法真正改变审计策略。

验证日志是否真实写入

MySQL 重启后，不能只依赖 SHOW VARIABLES LIKE 'audit_log%'; 来判断 MySQL 审计日志是否开启成功——这个命令只能显示当前配置值，并不能证明审计日志已经实际写入磁盘。

更可靠、真正有效的验证方法包括：

• 先检查日志文件是否存在且已有内容：
  ls -l /var/log/mysql/audit.log
tail -n 5 /var/log/mysql/audit.log
• 手动执行一条简单语句（例如 SELECT 1;），然后再次查看日志中是否新增 JSON 记录（通常会包含 "name": "Query" 或 "name": "Connect"）
• 如果日志文件为空，常见原因有：
  – audit_log_file 指定目录没有写权限
  – audit_log_policy 设置为 LOGINS，但你使用的是已经建立好的旧连接（不会产生新的 Connect 事件）
  – SELinux 或 AppArmor 阻止 MySQL 向指定路径写入日志

另外，MySQL 审计日志默认不会自动轮转，在生产环境中务必结合 logrotate 或自定义脚本定期归档清理，否则单个日志文件持续增长，很容易占满磁盘空间。这一点在实际部署中非常容易被忽视，往往等到磁盘告警后才发现问题。