Cloud SQL PostgreSQLのlog_statement設定 – DDL監査ログ有効化ガイド

2025.08.15

Cloud SQL

タイトル： Cloud SQL PostgreSQLのlog_statement設定 – DDL監査ログ有効化ガイドカテゴリ： Cloud SQL

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、gcloud CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Cloud SQL PostgreSQLインスタンスのlog_statementパラメータ設定について、リスクと対策を解説します。

ポリシーの説明

Cloud SQL PostgreSQLインスタンスでは、データベースの監査とトラブルシューティングのために、実行されるSQLステートメントをログに記録することが重要です。 log_statementパラメータを適切に設定することで、DDL（データ定義言語）ステートメントなどの重要な操作を追跡し、スキーマ変更やセキュリティイベントの監査証跡を残すことができます。

log_statementパラメータが無効化されている場合、データベーススキーマの変更履歴が記録されず、誰がいつどのような変更を行ったかを追跡できません。よって、内部脅威の検出困難になり、特権ユーザーによる不正な操作や、意図しないスキーマ変更を検出が不可能となってしまいます。

修復方法

コンソールでの修復手順

Google Cloud コンソールを使用して、Cloud SQL PostgreSQLインスタンスのlog_statementパラメータを設定します。

Google Cloud コンソールにアクセス
- Cloud SQL インスタンスページに移動します
対象のPostgreSQLインスタンスを選択
- インスタンス一覧から、設定を変更したいPostgreSQLインスタンスをクリックします
構成の編集
- インスタンスの詳細ページで、「編集」ボタンをクリックします
データベースフラグの設定
- 「構成オプション」セクションを展開します
- 「データベースフラグ」のセクションを見つけます
- 「+ フラグを追加」をクリックします
log_statementフラグの設定
- フラグ名のドロップダウンから「log_statement」を選択します
- 値として「ddl」を選択します（データ定義言語のステートメントのみを記録）
- 他のオプション：
  - none: ログを記録しない（デフォルト）
  - ddl: DDLステートメント（CREATE、ALTER、DROP、TRUNCATE、GRANT、REVOKE等）を記録（推奨）
  - mod: データを変更するステートメント（INSERT、UPDATE、DELETE、TRUNCATE、COPY、およびDDL）を記録
  - all: すべてのステートメントを記録（SELECT含む、パフォーマンスへの影響に注意）

Terraformでの修復手順

Cloud SQL PostgreSQLインスタンスでlog_statementパラメータを設定するTerraformコードと、主要な修正ポイントを説明します。

# Cloud SQL PostgreSQL インスタンスの設定
resource "google_sql_database_instance" "postgres_instance" {
    >>>> skip
    # データベースフラグ設定 - log_statementを追加
    database_flags {
      name  = "log_statement"
      value = "ddl"  # DDLステートメントを記録
    }
}