Cloud SQL PostgreSQLのlog_min_messages設定について

2025.08.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、gcloud CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Cloud SQL PostgreSQLインスタンスのlog_min_messagesパラメータを適切に設定し、セキュリティ監視を強化する方法について、リスクと対策を解説します。

ポリシーの説明

Cloud SQL PostgreSQLインスタンスでは、log_min_messagesパラメータが適切に設定されていない場合、重要な警告やセキュリティイベントがログに記録されない可能性があります。このパラメータは、サーバーログに記録されるメッセージの最小レベルを制御し、セキュリティ監視とインシデント対応において重要な役割を果たします。

log_min_messagesは列挙型のパラメータで、指定したレベル以上の重要度を持つメッセージのみがログに記録されます。推奨値はWARNINGであり、これにより警告、エラー、致命的エラーを含む重要なメッセージが確実に記録されます。

利用可能なログレベル（重要度の低い順）

DEBUG5 〜 DEBUG1: 詳細なデバッグ情報
INFO: 一般的な情報メッセージ
NOTICE: 通常の重要なメッセージ
WARNING: 警告メッセージ（推奨設定）
ERROR: エラーメッセージ
LOG: 管理者向けメッセージ
FATAL: 致命的エラー
PANIC: パニックエラー

修復方法

コンソールでの修復手順

Google Cloud コンソールを使用して、Cloud SQL PostgreSQLインスタンスのlog_min_messagesパラメータを設定します。

Google Cloud コンソールにログインし、Cloud SQL インスタンスページに移動します。

対象のPostgreSQLインスタンスをクリックして詳細ページを開きます。

*「編集」**ボタンをクリックしてインスタンスの設定編集画面に移動します。
*「構成オプション」セクションを展開し、「フラグ」**セクションまでスクロールします。
*「項目を追加」**をクリックし、以下の設定を行います：
- フラグ名: log_min_messagesを選択
- 値: warningを選択（推奨値）
セキュリティ監視強化のため、以下のフラグも追加することを推奨します：
- log_min_error_statement: error（エラーを引き起こしたSQL文を記録）
- log_connections: on（接続試行を記録）
- log_disconnections: on（セッション終了を記録）
- log_statement: ddl（DDL文を記録）
*「保存」**ボタンをクリックして変更を適用します。
変更の確認：インスタンスの詳細ページで、データベースフラグセクションにlog_min_messages=warningが表示されていることを確認します。

注意事項：

この変更は即座に適用され、インスタンスの再起動は不要です
新規セッションから有効になります
ログ量が増加する可能性があるため、ログ保存容量とコストを考慮してください

Terraformでの修復手順

Cloud SQL PostgreSQLインスタンスでlog_min_messagesを適切に設定するTerraformコードと、主要な修正ポイントを説明します。

# Cloud SQL PostgreSQL インスタンスの設定
resource "google_sql_database_instance" "postgres_secure" {
  >>> skip
  settings {
    # セキュリティログ設定（必須）
    database_flags {
      name  = "log_min_messages"
      value = "warning"  # 警告レベル以上のメッセージを記録
    }
  }
}