添加Agent
將待審計數據庫添加至數據庫安全審計實例后，您需要根據您在云上實際部署的數據庫選擇添加Agent的方式以及在應用端或數據庫端安裝Agent。Agent程序會獲取訪問數據庫流量、將流量數據上傳到審計系統、接收審計系統配置命令和上報數據庫狀態監控數據，幫助您實現對數據庫的安全審計。
完成添加Agent后，您還需要為Agent安裝節點所在的安全組添加入方向規則TCP協議（8000端口）和UDP協議（7000-7100端口），使Agent與審計實例之間的網絡連通，數據庫安全審計才能對添加的數據庫進行審計。
目前僅如下幾種類型數據庫支持免Agent審計。
- GaussDB for MySQL
- RDS for SQLServer
- RDS for MySQL：
- 5.6（5.6.51.1及以上版本）
- 5.7（5.7.29.2及以上版本）
- 8.0（8.0.20.3及以上版本）
前提條件
- 已成功購買數據庫安全審計實例，且實例的狀態為“運行中”。
- 已成功添加數據庫。
常見場景
請您根據數據庫類型以及數據庫部署場景，為待審計的數據庫添加Agent。
ECS/BMS自建數據庫的常見部署場景如圖所示。
- 一個應用端連接多個ECS/BMS自建數據庫
- 多個應用端連接同一個ECS/BMS自建數據庫
RDS關系型數據庫的常見部署場景如圖所示。
- 一個應用端連接多個RDS
- 多個應用端連接同一個RDS
添加Agent方式說明
| Agent安裝節點 | 審計功能說明 | 注意事項 |
|---|---|---|
| 數據庫端 | 可以審計所有訪問該數據庫的應用端的所有訪問記錄。 | 在數據庫端添加Agent。 當某個應用端連接多個ECS/BMS自建數據庫時，所有連接該應用端的數據庫都需要添加Agent。 |
| 應用端（應用端部署在云上） | 可以審計該應用端與其連接的所有數據庫的訪問記錄。 | 在應用端添加Agent。 當某個應用端連接多個RDS時，所有連接該應用端的RDS關系型數據庫都需要添加Agent。當其中一個RDS選擇“安裝節點類型”后，其余RDS添加Agent時，選擇“選擇已有Agent”添加方式。 當多個應用端連接同一個RDS時，所有連接該RDS的應用端都需要添加Agent。 |
| 只能審計代理端與后端數據庫之間的訪問記錄，無法審計應用端與后端數據庫的訪問記錄。 | 在應用端添加Agent。 “安裝節點IP”需要配置為代理端的IP地址。 |
- |
注意
當您的應用和數據庫（ECS/BMS自建數據庫）都部署在同一個節點上時，Agent需在數據庫端添加。
添加Agent（ECS/BMS自建數據庫）
- 登錄管理控制臺。
- 單擊右上角的
，選擇區域。 - 選擇“安全 > 數據庫安全服務”，進入數據庫安全防護實例列表界面。
- 在左側導航樹中，選擇“數據庫安全審計 > 數據庫列表”，進入數據庫列表界面。
- 在“選擇實例”下拉列表框中，選擇需要添加Agent的數據庫所屬的實例。
- 在添加的數據庫所在行的“Agent”列，單擊“添加Agent”。
- 在彈出的“添加Agent”對話框中，選擇添加方式，如圖所示在數據庫端添加Agent:
添加Agent參數說明（ECS/BMS自建數據庫）
| 參數名稱 | 說明 | 取值樣例 |
|---|---|---|
| 添加方式 | 您可以選擇Agent的添加方式。選擇已有Agent 當某個應用端連接了多個數據庫時，如果該應用端的一個數據庫已經在應用端添加了Agent。其他數據庫在添加Agent時，只需要選擇“選擇已有Agent”添加方式。 創建Agent 如果待添加Agent的數據庫需要創建Agent，請創建新的Agent。 |
創建Agent |
| 安裝節點類型 | 當“添加方式”選擇“創建Agent”時，需配置該參數。 審計ECS/BMS自建數據庫，選擇“數據庫端”。 | 數據庫端 |
| 操作系統 | 指待審計的數據庫的操作系統，支持。 可以選擇“LINUX64-X86”“、LINUX64-ARM”或“WINDOWS64”。 說明：根據服務器架構的不同，請根據自身的服務器架構選擇LINUX64_X86或者LINUX64_ARM架構版本。 | LINUX64-X86 |
- 單擊“確定”，Agent添加成功。
- 單擊數據庫左側的
展開該數據庫的詳細信息，查看添加的Agent信息，如圖所示:
說明Agent添加完成后，請您確認添加的Agent信息正確。如果Agent添加不正確，請您在Agent所在行單擊“More”選擇“刪除”，刪除Agent后，再重新添加agent。
添加Agent（RDS關系型數據庫）
對于數據庫類型為“MYSQL”和“GaussDB(for MySQL)”的RDS關系型數據庫，在添加數據庫成功后Agent免安裝，您可以直接進行步驟三：添加安全組規則。
當某個應用端連接了多個RDS時， 請按以下方式添加Agent：
- 連接該應用端所有的RDS都需要添加Agent。
- 如果連接該應用端的某個數據庫已在應用端添加了Agent。其他數據庫在添加Agent時，請選擇“選擇已有Agent”添加方式。
- 登錄管理控制臺。
- 單擊右上角的
，選擇區域。 - 選擇“安全 > 數據庫安全服務”，進入數據庫安全防護實例列表界面。
- 在左側導航樹中，選擇“數據庫安全審計 > 數據庫列表”，進入數據庫列表界面。
- 在“選擇實例”下拉列表框中，選擇需要添加Agent的數據庫所屬的實例。
- 在添加的數據庫所在行的“Agent”列，單擊“添加Agent”。
- 在彈出的“添加Agent”對話框中，選擇添加方式。
- “添加方式”選擇“選擇已有Agent”，添加方式”選擇“創建Agent”如果待添加Agent的數據庫需要創建Agent，請創建新的Agent。“安裝節點類型”選擇“應用端”，“安裝節點IP”輸入應用端內網IP地址。在應用端添加Agent。
添加Agent參數說明（RDS關系型數據庫）
| 參數名稱 | 說明 | 取值樣例 |
|---|---|---|
| 添加方式 | 您可以選擇Agent的添加方式。 選擇已有Agent 當某個應用端連接了多個數據庫時，如果該應用端的一個數據庫已經在應用端添加了Agent。其他數據庫在添加Agent時，只需要選擇“選擇已有Agent”添加方式。 創建Agent 如果待添加Agent的數據庫需要創建Agent，請創建新的Agent。 |
創建Agent |
| 安裝節點類型 | 當“添加方式”選擇“創建Agent”時，需配置該參數。 審計RDS關系型數據庫，需要選擇“應用端”。 | 應用端 |
| 安裝節點IP | “安裝節點類型”選擇“應用端”時，需配置該參數。安裝節點IP只能填寫一個，每個Agent安裝節點IP不同。 IP地址為應用端內網IP地址。 IP必須為內網IP地址，支持IPv4和IPv6格式。 須知 當審計RDS關系型數據庫且應用端在云下時，代理端將作為應用端，此時，“安裝節點IP”需要配置為代理端的IP地址。 | 192.168.1.1 |
| 審計網卡名稱 | 可選參數。“安裝節點類型”選擇“應用端”時，可以配置該參數。 指待審計的應用端節點的網卡名稱。 | - |
| CPU閾值(%) | 可選參數。“安裝節點類型”選擇“應用端”時，可以配置該參數。 指待審計的應用端節點的CPU閾值，缺省值為“80”。 須知 當服務器的CPU超過設置的閾值，為了保證您業務的正常運行，Agent將自動關閉，停止運行。 | 80 |
| 內存閾值(%) | 可選參數。“安裝節點類型”選擇“應用端”時，可以配置該參數。 指待審計的應用端節點的內存閾值，缺省值為“80”。 須知 當服務器上的內存超過設置的閾值，為了保證您業務的正常運行，Agent將自動關閉，停止運行。 | 80 |
| 操作系統 | 可選參數。“安裝節點類型”選擇“應用端”時，可以配置該參數。 指待審計的應用端節點的操作系統，可以選擇“LINUX64”或“WINDOWS64”。 | LINUX64 |
- 單擊“確定”，Agent添加成功。
- 單擊數據庫左側的
展開該數據庫的詳細信息，查看添加的Agent信息，如圖所示。
Agent添加完成后，請您確認添加的Agent信息正確。如果Agent添加不正確，請您在Agent所在行單擊“More”選擇“刪除”，刪除Agent后，再重新添加Agent。
后續處理
Agent添加完成后，您還需要根據Agent的添加方式在數據庫端或應用端安裝Agent，將添加的數據庫連接到數據庫安全審計實例，數據庫安全審計才能對添加的數據庫進行審計。
