Cloud SQL PostgreSQLのlog_error_verbosityパラメータについて

2025.08.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、gcloud CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Cloud SQLのPostgreSQLインスタンスでlog_error_verbosityパラメータを適切に設定し、セキュリティと運用のバランスを取る方法を解説します。

ポリシーの説明

Cloud SQLのPostgreSQLインスタンスにおいて、log_error_verbosityパラメータは、サーバーログに記録されるメッセージの詳細レベルを制御する重要な設定です。このパラメータは以下の3つの値を取ることができます：

TERSE: 最小限の情報のみ（エラーメッセージのみ）
DEFAULT: 標準的な詳細レベル（エラーメッセージ、詳細、ヒント）
VERBOSE: 最大限の詳細情報（上記に加えてSQLSTATE、ソースコードのファイル名、関数名、行番号）

このパラメータはエラーメッセージだけでなく、すべてのログレベル（ERROR、LOG、FATAL、PANIC）のメッセージに適用されます。セキュリティとコンプライアンスの観点から、このパラメータを適切に設定することで、インシデント調査に必要な情報を確保しつつ、機密情報の露出リスクとパフォーマンスへの影響のバランスを取ることが重要です。

修復方法

コンソールでの修復手順

Google Cloud コンソールを使用して、log_error_verbosityパラメータを推奨値（DEFAULT）に設定します。

Google Cloud Console にログインし、「SQL」セクションに移動します

対象のPostgreSQLインスタンスを選択します

インスタンスの詳細ページで「編集」をクリックします

「構成オプション」セクションを展開し、「フラグ」を選択します
「データベースのフラグ」で「項目を追加」をクリックします
1. log_error_verbosity値としてdefaultを設定します（またはこのフラグを削除してPostgreSQLのデフォルト値を使用）
「保存」をクリックして変更を適用します

Terraformでの修復手順

Cloud SQLインスタンスのlog_error_verbosityを適切に設定するTerraformコードと、主要な修正ポイントを説明します。

# Cloud SQL PostgreSQL インスタンスの設定
resource "google_sql_database_instance" "postgres" {
  >>> Skip
  settings {
    # データベースフラグの設定
    database_flags {
      name  = "log_error_verbosity"
      value = "default"  # PostgreSQLのデフォルト値を使用（推奨）
    }
  }
}