• Требования регуляторов и ИБ по детальному логированию операций доступа к персональным данным (ФЗ-152, PCI-DSS).
• Невозможность определить, кто именно удалил или модифицировал критические системные таблицы.
• Стандартный параметр log_statement = 'all' генерирует неструктурированный шум и забивает дисковые массивы.

1. Установка пакета pgaudit

# Debian/Ubuntu
apt-get install -y postgresql-16-pgaudit

# RHEL/Rocky Linux
dnf install -y pgaudit16

2. Конфигурация в postgresql.conf

Добавьте pgaudit в предзагружаемые библиотеки:

shared_preload_libraries = 'pgaudit'

# Классы логируемых событий (READ, WRITE, FUNCTION, ROLE, DDL, MISC)
pgaudit.log = 'ddl, role, write'

# Логировать параметры параметризованных запросов
pgaudit.log_parameter = on

# Раздельное логирование команд внутри сессии
pgaudit.log_relation = on

# Логирование системных служебных запросов (отключено для снижения шума)
pgaudit.log_catalog = off

Перезапустите СУБД:

systemctl restart postgresql

3. Активация расширения в целевой БД

CREATE EXTENSION pgaudit;

4. Точечный аудит доступа к конфиденциальной таблице (Object Auditing)

Создайте выделенную роль для селективного аудита чтения таблицы зарплат:

CREATE ROLE auditor_role NOINHERIT;
GRANT SELECT ON confidential_payroll TO auditor_role;

-- Включение аудита только для объектов, к которым имеет доступ auditor_role
SET pgaudit.role = 'auditor_role';