Auditing Cloud Cluster Security（审计云集群安全）用于评估 CockroachDB 集群的安全态势，同时支持 CockroachDB Cloud 与自托管集群。审计全程为只读操作，不会修改集群状态。
一、用途与适用场景
- 为 SOC 2、HIPAA 等合规评审做准备
- 进行周期性安全态势评估
- 新生产集群上线时校验安全基线
- 事件发生后排查安全配置缺口
- 重大发布或客户接入前复核集群安全
二、审计维度
- 网络安全：IP 允许列表、私有端点
- 认证与 SSO：Cloud Console SSO、数据库 SSO（Cluster SSO）、SCIM 2.0 供应、自动用户供应
- 授权：用户、角色、管理员授予、PUBLIC 权限
- 加密：CMEK 状态、TLS 设置
- 审计日志：审计日志配置、会话日志
- 备份与恢复：托管备份状态、自管理备份计划
- 加密体制态势：TLS 版本、PQC 混合密码支持、加密密钥长度
- 集群上下文：部署模型、环境、合规要求、数据敏感度
- 集群配置：版本、计划、区域
三、前置条件 工具： ccloud CLI（Cloud 必需，自托管 N/A）：用于集群元数据、网络配置、CMEK。 cockroach sql（Cloud 与自托管均必需）：用于 SQL 安全检查。 openssl（v3+，推荐）：用于 TLS/PQC 密码探测（-starttls postgres）。 sslyze（可选）：用于全面 TLS 枚举（--starttls postgres）。
凭证： ccloud auth login 会话（Cloud 必需，自托管 N/A）。 SQL 连接字符串（Cloud 从 ccloud cluster sql --url 获取，自托管由用户提供）。 数据库用户名/密码（需 admin 或 VIEWACTIVITY 权限）。 TLS 证书目录（自托管用于证书到期检查）。 CA 证书文件（自托管用于 openssl TLS 探测）。
四、评估流程 Step 0：验证前置条件。运行 ccloud auth whoami、ccloud cluster list -o json、cockroach sql 连接测试、openssl version、which sslyze && sslyze --version。缺失工具会降低特定检查质量，而非阻断审计；若 cockroach sql 不可用，审计将仅限 ccloud 检查并提示解决连接问题。 Step 1：收集集群元数据并确认审计上下文。Cloud 用 ccloud cluster list/info；自托管用 cockroach node status 与 SQL version()。确认部署模型、环境（production/staging/development/sandbox）、合规框架（SOC 2、HIPAA、PCI DSS、ISO 27001、GDPR 或无）、数据敏感度。默认值：Cloud、production、无合规、内部业务数据。部署模型决定检查适用性，环境与合规校准严重级别。 Step 2：评估网络安全。Cloud 检查 IP 允许列表、入站私有端点（Standard+、Advanced）、出站私有端点（Advanced）及 HBA 配置。若允许列表含 0.0.0.0/0 则 FAIL，含宽泛 CIDR（/8、/16）则 WARN。自托管以 HBA 配置为主要网络层认证控制，为空或默认则 WARN，有 IP/子网/认证方式限制则 PASS。 Step 3：检查 SSO 与 SCIM。Cloud Console SSO 未配置 FAIL，启用并强制 PASS。数据库 SSO OIDC 检查 server.oidc_authentication.enabled，false 则 FAIL。LDAP/AD 通过 HBA 中 ldap 条目判断。SCIM 2.0 未启用 FAIL。自动用户供应检查 server.identity_map.configuration，未配置 FAIL。 Step 4：审计用户与角色，使用 SHOW USERS。 Step 5：检查权限。统计 admin 角色成员数；检查 PUBLIC 在当前数据库的权限（注意 SHOW GRANTS FOR public 仅限当前数据库，需对每个数据库执行）。超过 5 个 admin 或 PUBLIC 对应用表有 SELECT/INSERT/UPDATE/DELETE 则 FAIL，admin 数 3-5 则 WARN。 Step 6：验证加密。Cloud 按计划类型评估 CMEK：Standard 为 INFO 提示升级；Advanced 无 Advanced Security Add-on 为 INFO；有该附加组件但未启用 CMEK 为 FAIL；已启用为 PASS。自托管改用 Enterprise Encryption，通过 --enterprise-encryption 启动参数、Prometheus 指标 rocksdb_encryption_ 或 DB Console Stores 视图确认。Cloud TLS 始终 PASS；自托管验证证书有效期，30 天内到期 FAIL，30-90 天 WARN，90 天以上 PASS。加密体制态势（TLS 版本、PQC 混合密码、密钥长度）为 INFO。注意 CockroachDB 使用 PostgreSQL 线协议，openssl s_client 需 -starttls postgres，sslyze 需 --starttls postgres。 Step 7：检查审计日志。sql.log.user_audit 为空且 sql.log.admin_audit.enabled 为 false 则 FAIL；仅启用 admin 审计则 WARN；两者均配置则 PASS。 Step 8：评估备份状态。Cloud 托管备份自动执行，始终 PASS；可检查备份配置与自管理备份计划。自托管无托管备份，需验证自管理备份计划：无计划 FAIL，有计划但有错误或近期未运行 WARN，计划活跃运行 PASS。
五、PASS/WARN/FAIL 标准与严重级别调整 报告对每项检查给出 PASS/WARN/FAIL，并列出触发条件（如 IP 允许列表、SSO、admin 用户数、PUBLIC 权限、CMEK、Enterprise Encryption、TLS、HBA、审计日志、密码策略、备份等）。默认按生产环境校准严重级别，非生产环境会降级部分发现，但指定合规框架时合规优先，部分检查不可降级。
六、限制
- 仅执行只读检查，不修改集群状态。
- 部分检查依赖工具与凭证，缺失时会降级或不完整。
- Cloud 与自托管适用检查不同，不适用项标记 N/A。
- 未提供具体定价、平台或效果信息。