252-AWS SAP AWS 「理論・実践・一問道場」データベースアクティビティストリーム

type

status

date

slug

summary

理論

Amazon Auroraのデータベースアクティビティ監視に関連する本質的知識

データベースのアクティビティを監視する際には、セキュリティやコンプライアンス要件を満たすことが重要です。以下は、Amazon Auroraを使用してアクティビティ監視を行うための主要な機能とその応用です。

1. データベースアクティビティストリーム

以下は、データベースアクティビティストリームと**変更データキャプチャ（CDC）**の違いをシンプルにまとめた表です。

項目	データベースアクティビティストリーム	変更データキャプチャ（CDC）
目的	データベース内でのすべてのアクティビティを記録	データ変更（挿入、更新、削除）をキャプチャ
範囲	クエリ実行、ログイン、権限変更、構造変更など幅広いイベントを対象	データの変更に特化
データ内容	実行された操作全般（例: SELECT, ALTER TABLE）	変更されたデータとその詳細（例: 更新前後の値）
主な用途	セキュリティ監査、異常検知、操作履歴の追跡	データ同期、レプリケーション、リアルタイム分析
ツールの例	Amazon Aurora Database Activity Streams	AWS DMS、Debezium

ポイント:

アクティビティストリームはデータベース全体の動きを網羅的に監視したいときに使います。

CDCはデータ変更だけを効率よく追跡して別システムと連携したいときに使います。

概要: Amazon Auroraは、データベースアクティビティストリームという機能を提供し、データベースへのすべてのアクティビティを記録できます。これには、クエリ実行、ログインイベント、データ変更が含まれます。

特徴:

セキュリティ監査: データベースの操作ログを保持して、不正アクセスや不正操作を検知。
リアルタイム処理: Amazon Kinesisなどと連携して、リアルタイムでの分析が可能。
データ暗号化: アクティビティデータはAWS Key Management Service (KMS)によって暗号化され、セキュリティが強化されます。

2. Amazon Kinesisとの統合

Kinesis Data Streams: データベースアクティビティストリームをリアルタイムで処理するために使用。高スループットのデータストリーミングをサポートします。

Kinesis Data Firehose: データをAmazon S3やAmazon Redshiftに簡単に配信するために使用。リアルタイム性よりも保存や分析を優先する場合に適しています。

3. データ保存と分析

Amazon S3: アクティビティデータを長期的に保存するための低コストなオプション。保存したデータをAmazon Athenaでクエリ可能。

Amazon Redshift: 大量のデータを分析する場合に適しており、ビジネスインテリジェンスツールとの統合が簡単。

4. セキュリティとアクセス制御

AWS IAMとポリシー: データベースアクティビティストリームやKinesisへのアクセスを制限することで、不正使用を防止。

Amazon EventBridgeの活用: アクティビティストリームをトリガーとしてリアルタイムで特定の処理（例: アラートやログ保存）を実行可能。

適用シナリオ

セキュリティ監査: Auroraで発生するすべての操作を記録して、監査や法的要件を満たす。

運用モニタリング: リアルタイムでデータベースアクティビティを追跡し、問題発生時の迅速な対応が可能。

コンプライアンス遵守: データ活動のログを保持することで、GDPRやHIPAAなどの規制要件に対応。

まとめ

Amazon Auroraのデータベースアクティビティストリームを中心に、KinesisとS3を組み合わせることで、リアルタイムの監視と低コストなデータ保存が可能になります。このアプローチはセキュリティ、運用効率、コスト効果の観点で非常に優れています。

実践

略

一問道場

質問 #252

トピック 1

ある企業が、単一のAWSリージョンでAmazon Aurora PostgreSQL DBクラスターをアプリケーションに使用しています。同社のデータベースチームは、すべてのデータベースのすべてのデータ活動を監視する必要があります。

どのソリューションがこの目的を達成できますか？

AWS Database Migration Service (AWS DMS)の変更データキャプチャ (CDC) タスクを設定します。Aurora DBクラスターをソースとして指定します。ターゲットとしてAmazon Kinesis Data Firehoseを指定します。Kinesis Data Firehoseを使用してデータをAmazon OpenSearch Serviceクラスターにアップロードし、さらなる分析を行います。

Aurora DBクラスターでデータベースアクティビティストリームを開始し、そのアクティビティストリームをAmazon EventBridgeでキャプチャします。EventBridgeのターゲットとしてAWS Lambda関数を定義します。Lambda関数をプログラムして、EventBridgeからのメッセージを復号化し、すべてのデータベースアクティビティをAmazon S3に公開し、さらなる分析を行います。

Aurora DBクラスターでデータベースアクティビティストリームを開始し、そのアクティビティストリームをAmazon Kinesisデータストリームにプッシュします。Amazon Kinesis Data Firehoseを設定してKinesisデータストリームを消費し、データをAmazon S3に配信してさらなる分析を行います。

AWS Database Migration Service (AWS DMS)の変更データキャプチャ (CDC) タスクを設定します。Aurora DBクラスターをソースとして指定します。ターゲットとしてAmazon Kinesis Data Firehoseを指定します。Kinesis Data Firehoseを使用してデータをAmazon Redshiftクラスターにアップロードします。Amazon Redshiftデータにクエリを実行し、Auroraデータベースでのデータベースアクティビティを判別します。