[Oracle]Audit（二）--清理Audit數據

在上一篇，初步了解了Audit的作用以及如何使用Audit，本篇記錄如何手動清理Audit數據。

（一） 概述

Audit的數據主要存儲在sys.aud$表中，該表默認位於system表空間中，我們根據需求，將該表移到了sysaux表空間中。由於審計數據量較大，需要經常關注sysaux表空間的使用情況,同時根據實際情況對sys.aud$表進行數據清理。

（二） 清理步驟

（1）使用sys賬號登陸數據庫，打開計時功能，方便查看每一個命令的執行時間

SQL> set timing on

（2）在清理數據之前先查看數據量大小

SQL> select count(*) from sys.aud$;

（3）查看Audit表中最早一筆數據的時間,即審計表中記錄的最早的時間

SQL> select min(ntimestamp#) from sys.aud$;
MIN(NTIMESTAMP#)
----------------------------------------
23-11月-16 08.18.54.496893 上午

（4）查看審計數據最后歸檔時間，只有歸檔的數據才能刪除

SQL> SELECT * FROM dba_audit_mgmt_last_arch_ts;
AUDIT_TRAIL   RAC_INSTANCE   LAST_ARCHIVE_TS
-----------   ------------   --------------------------------
STANDARD AUDIT TRAIL     0   14-3月 -17 01.22.49.000000 下午 +00:00

（5）初始化清理Audit的功能，該命令只有在第一次執行時需要運行，default_cleanup_interval =>168代表清理周期為168小時。

SQL> 
BEGIN
      sys.DBMS_AUDIT_MGMT.init_cleanup(
      audit_trail_type         => sys.DBMS_AUDIT_MGMT.AUDIT_TRAIL_ALL,
      default_cleanup_interval => 168);
END;
/

（6）確認清除Audit功能是否開啟，yes為開啟

SQL>
SET SERVEROUTPUT ON
BEGIN
IF sys.DBMS_AUDIT_MGMT.is_cleanup_initialized(sys.DBMS_AUDIT_MGMT.AUDIT_TRAIL_AUD_STD) THEN
     DBMS_OUTPUT.put_line('YES');
   ELSE
     DBMS_OUTPUT.put_line('NO');
   END IF;
  END;
/

（7）設置需要清理的天數，最后一個數字‘7’代表清理‘7’天前的數據（歸檔時間大於等於清除時間）

SQL> 
BEGIN
      sys.DBMS_AUDIT_MGMT.set_last_archive_timestamp(
      audit_trail_type  => sys.DBMS_AUDIT_MGMT.AUDIT_TRAIL_AUD_STD,
      last_archive_time => SYSTIMESTAMP-7 /* Day */);
END;
/

(8) 執行清除，時間長短受數據量大小影響（經測試600萬條數據大約20分鍾）

SQL> 
BEGIN
      sys.DBMS_AUDIT_MGMT.clean_audit_trail(
      audit_trail_type        => sys.DBMS_AUDIT_MGMT.AUDIT_TRAIL_AUD_STD,
      use_last_arch_timestamp => TRUE);
END;
/

(9)在清理后，sys.aud$表的大小並沒有發生改變，需要收回空間

解釋：在上面清理表sys.aud$后，實際上，數據還在磁盤上，只是數據不受保護了而已，其空間並沒有釋放，需要將其釋放回收

SQL> select segment_name,bytes/1024/1024 from dba_segments where segment_name='AUD$'; --查看aud$的大小
SEGMENT_NAME                                                                     BYTES/1024/1024
-------------------------------------------------------------------------------- ---------------
AUD$                                                                                        3456

SQL> alter table sys.aud$ enable row movement;   --激活行移動
Table altered.

SQL> SQL> alter table sys.aud$ shrink space cascade;  --進行空間回收
Table altered.

SQL> alter table sys.aud$ disable row movement;  --關閉行移動
Table altered.

SQL> select segment_name,bytes/1024/1024 from dba_segments where segment_name='AUD$';  ----再次查看aud$的大小

SEGMENT_NAME                                                                     BYTES/1024/1024
-------------------------------------------------------------------------------- ---------------
AUD$                                                                                    666.8125

經過2次查看空間大小，可以看到空間已經被釋放。