【Oracle】監査ログの保存先とローテーション設定方法｜DB テーブル・OS ファイル・統合監査・DBMS_AUDIT_MGMT・自動クリーンアップまで解説

-- 伝統的監査: DB / OS / XML のどれか
SHOW PARAMETER audit_trail;
-- DB: SYS.AUD$ テーブルに保存
-- OS: audit_file_dest の OS ファイルに保存
-- XML: audit_file_dest に XML ファイルで保存

-- OS 監査ファイルのパス
SHOW PARAMETER audit_file_dest;
-- 例: /oracle/admin/ORCL/adump

-- 統合監査が有効か確認
SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';
-- TRUE = 統合監査が有効

-- 伝統的監査テーブル SYS.AUD$ のサイズ
SELECT segment_name, ROUND(bytes/1024/1024, 1) AS size_mb
FROM dba_segments
WHERE segment_name = 'AUD$' AND owner = 'SYS';

-- 統合監査テーブルのサイズ
SELECT segment_name, ROUND(bytes/1024/1024, 1) AS size_mb
FROM dba_segments
WHERE segment_name LIKE 'AUD$UNIFIED%' AND owner = 'AUDSYS';

-- レコード数
SELECT COUNT(*) AS record_count FROM sys.aud$;
SELECT COUNT(*) AS record_count FROM unified_audit_trail;

-- 月ごとのレコード数推移
SELECT TO_CHAR(event_timestamp, 'YYYY-MM') AS month,
       COUNT(*) AS cnt
FROM unified_audit_trail
GROUP BY TO_CHAR(event_timestamp, 'YYYY-MM')
ORDER BY month;

-- (1) 専用表領域を作成
CREATE TABLESPACE audit_ts DATAFILE
    '/oracle/oradata/ORCL/audit_ts01.dbf' SIZE 2G AUTOEXTEND ON MAXSIZE 10G;

-- (2) AUD$ を移動（DBMS_AUDIT_MGMT 使用）
BEGIN
    DBMS_AUDIT_MGMT.SET_AUDIT_TRAIL_LOCATION(
        audit_trail_type => DBMS_AUDIT_MGMT.AUDIT_TRAIL_AUD_STD,
        audit_trail_location_value => 'AUDIT_TS'
    );
END;
/

-- 統合監査テーブルの移動
BEGIN
    DBMS_AUDIT_MGMT.SET_AUDIT_TRAIL_LOCATION(
        audit_trail_type => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
        audit_trail_location_value => 'AUDIT_TS'
    );
END;
/

-- 統合監査のクリーンアップを初期化
BEGIN
    DBMS_AUDIT_MGMT.INIT_CLEANUP(
        audit_trail_type         => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
        default_cleanup_interval => 720  -- 時間（30 日）
    );
END;
/

-- 伝統的監査の場合
BEGIN
    DBMS_AUDIT_MGMT.INIT_CLEANUP(
        audit_trail_type         => DBMS_AUDIT_MGMT.AUDIT_TRAIL_AUD_STD,
        default_cleanup_interval => 720
    );
END;
/

-- 初期化状態の確認
SELECT audit_trail, cleanup_interval
FROM dba_audit_mgmt_config_params
WHERE parameter_name = 'DEFAULT CLEAN UP INTERVAL';

-- (1) アーカイブタイムスタンプを設定（この日時より前のログを削除対象にする）
BEGIN
    DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP(
        audit_trail_type  => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
        last_archive_time => SYSDATE - 90  -- 90 日以前を削除対象
    );
END;
/

-- (2) クリーンアップを実行
BEGIN
    DBMS_AUDIT_MGMT.CLEAN_AUDIT_TRAIL(
        audit_trail_type        => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
        use_last_arch_timestamp => TRUE
    );
END;
/

-- 自動クリーンアップジョブを作成（日次実行）
BEGIN
    DBMS_AUDIT_MGMT.CREATE_PURGE_JOB(
        audit_trail_type        => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
        audit_trail_purge_interval => 24,  -- 24 時間ごと
        audit_trail_purge_name  => 'UNIFIED_AUDIT_PURGE_JOB',
        use_last_arch_timestamp => TRUE
    );
END;
/

-- ジョブの状態を確認
SELECT job_name, job_status, audit_trail,
       job_frequency AS interval_hours
FROM dba_audit_mgmt_cleanup_jobs;

-- ジョブを削除
BEGIN
    DBMS_AUDIT_MGMT.DROP_PURGE_JOB(
        audit_trail_purge_name => 'UNIFIED_AUDIT_PURGE_JOB'
    );
END;
/

# 監査ファイルの場所を確認
sqlplus / as sysdba -s <<EOF
SHOW PARAMETER audit_file_dest
EOF
# 例: /oracle/admin/ORCL/adump

# ファイル数とサイズの確認
ls -la /oracle/admin/ORCL/adump/ | wc -l
du -sh /oracle/admin/ORCL/adump/

# 90 日以上前の監査ファイルを削除
find /oracle/admin/ORCL/adump/ -name '*.aud' -mtime +90 -delete
find /oracle/admin/ORCL/adump/ -name '*.xml' -mtime +90 -delete

# crontab: 毎日 4:00 に 90 日以上前の監査ファイルを削除
0 4 * * * find /oracle/admin/ORCL/adump/ -name '*.aud' -mtime +90 -delete

-- 90 日保持: 90 日以前のログを自動削除
BEGIN
    -- アーカイブタイムスタンプを毎日更新するジョブと組み合わせ
    DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP(
        audit_trail_type  => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
        last_archive_time => SYSDATE - 90
    );
END;
/

-- 上記を毎日実行する DBMS_SCHEDULER ジョブ
BEGIN
    DBMS_SCHEDULER.CREATE_JOB(
        job_name   => 'JOB_SET_ARCHIVE_TS',
        job_type   => 'PLSQL_BLOCK',
        job_action => 'BEGIN DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP('
                    || 'DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED, SYSDATE-90); END;',
        start_date => TRUNC(SYSDATE) + 1 + 3/24,
        repeat_interval => 'FREQ=DAILY; BYHOUR=3',
        enabled    => TRUE
    );
END;
/

-- (1) 初期化
EXEC DBMS_AUDIT_MGMT.INIT_CLEANUP(DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED, 720);

-- (2) 90 日保持のアーカイブタイムスタンプを設定
BEGIN
    DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP(
        DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED, SYSDATE - 90);
END;
/

-- (3) 自動クリーンアップジョブ（日次）
BEGIN
    DBMS_AUDIT_MGMT.CREATE_PURGE_JOB(
        audit_trail_type        => DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED,
        audit_trail_purge_interval => 24,
        audit_trail_purge_name  => 'DAILY_AUDIT_PURGE',
        use_last_arch_timestamp => TRUE
    );
END;
/

#!/bin/bash
# audit_cleanup.sh

# DB テーブルのクリーンアップ
sqlplus / as sysdba <<EOF
BEGIN
    DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP(
        DBMS_AUDIT_MGMT.AUDIT_TRAIL_AUD_STD, SYSDATE - 90);
    DBMS_AUDIT_MGMT.CLEAN_AUDIT_TRAIL(
        DBMS_AUDIT_MGMT.AUDIT_TRAIL_AUD_STD, TRUE);
END;
/
EOF

# OS ファイルの削除
find /oracle/admin/ORCL/adump/ -name '*.aud' -mtime +90 -delete

-- SYSTEM 表領域が逼迫している場合の緊急対応
-- 注意: 監査ログが全件削除される
TRUNCATE TABLE sys.aud$;
TRUNCATE TABLE sys.fga_log$;

-- 統合監査の緊急削除
BEGIN
    DBMS_AUDIT_MGMT.SET_LAST_ARCHIVE_TIMESTAMP(
        DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED, SYSDATE);
    DBMS_AUDIT_MGMT.CLEAN_AUDIT_TRAIL(
        DBMS_AUDIT_MGMT.AUDIT_TRAIL_UNIFIED, TRUE);
END;
/

-- 監査テーブルのサイズとレコード数を確認
SELECT 'AUD$' AS trail,
       (SELECT ROUND(bytes/1024/1024) FROM dba_segments
        WHERE segment_name='AUD$' AND owner='SYS') AS size_mb,
       (SELECT COUNT(*) FROM sys.aud$) AS records
FROM DUAL
UNION ALL
SELECT 'UNIFIED',
       (SELECT ROUND(SUM(bytes)/1024/1024) FROM dba_segments
        WHERE segment_name LIKE 'AUD$UNIFIED%' AND owner='AUDSYS'),
       (SELECT COUNT(*) FROM unified_audit_trail)
FROM DUAL;