如何追踪DB2 LUW中特定用户执行的SQL命令？

方法一：DB2审计工具（db2audit） #

这是DB2原生的合规性审计机制，可全面记录特定用户的所有SQL执行操作，适合长期监控或合规审计场景。

• 步骤1：配置审计策略，指定目标用户与追踪事件
  执行以下命令开启审计，并限定仅追踪指定用户的SQL执行事件：

  -- 启用审计范围，包含SQL执行事件
  db2audit configure scope execute, status, context status on
  -- 指定要追踪的特定用户
  db2audit configure user <目标用户名> status on
  -- 设置审计日志存储路径
  db2audit configure audit data path /db2/audit/logs
  

• 步骤2：重启DB2实例使配置生效

  db2stop force
  db2start
  

• 步骤3：提取并分析审计日志
  将二进制审计日志转换为可读的CSV格式：

  db2audit extract delasc to /db2/audit/extract.csv from files /db2/audit/logs
  

  可通过文本工具或SQL客户端筛选目标用户的SQL记录：

  grep "<目标用户名>" /db2/audit/extract.csv
  

方法二：事件监视器（Event Monitor） #

针对SQL语句的专用监控工具，可精准捕获特定用户的动态SQL文本、执行时长等细节，适合性能排查或针对性追踪。

• 步骤1：创建带用户过滤条件的事件监视器

  CREATE EVENT MONITOR user_sql_monitor FOR STATEMENTS WRITE TO TABLE
  (STATEMENTS TABLE user_stmt_log, CONTROL TABLE user_stmt_control)
  WHERE USERID = '<目标用户名>';
  

• 步骤2：激活事件监视器

  SET EVENT MONITOR user_sql_monitor STATE = 1;
  

• 步骤3：查询监控结果获取SQL记录
  用户执行SQL后，直接查询语句记录表：

  SELECT STMT_TEXT, EXECUTION_TIME, TIMESTAMP FROM user_stmt_log;
  

• 步骤4：停止并清理监视器（可选）
  监控完成后关闭并删除监视器：

  SET EVENT MONITOR user_sql_monitor STATE = 0;
  DROP EVENT MONITOR user_sql_monitor;
  

方法三：db2pd工具实时追踪 #

适合临时实时排查，无需提前配置，可快速查看特定用户当前正在执行的SQL语句。

• 步骤1：定位目标用户的会话句柄
  查询数据库的代理进程，找到目标用户对应的应用句柄：

  db2pd -db <数据库名> -agents
  

  输出中Application Handle字段即为会话句柄，Userid字段匹配目标用户。
• 步骤2：实时查看会话SQL
  通过应用句柄获取该会话的动态SQL：

  db2pd -db <数据库名> -dynamic -apphdl <应用句柄>
  

  输出中的stmt_text字段即为用户当前执行的SQL语句；也可直接过滤用户：

  db2pd -db <数据库名> -dynamic | grep -i "<目标用户名>"
  

注意事项 #

• 权限要求：执行上述操作需具备SYSADM或SECADM权限。
• 性能影响：审计和事件监视器会产生一定性能开销，生产环境需评估后启用。
• 日志管理：定期清理审计日志和事件监视器表，避免磁盘空间耗尽。

内容的提问来源于stack exchange，提问作者naikum