Oracle数据库从RMAN备份集片段还原指定单个归档日志进行日志挖掘分析

Posted 2021-02-06 smartree

起因：业务已知在之前某个时间点范围内发生了可疑异常操作，希望通过日志挖掘来审查SQL动作

现状：生产库在线归档已备份后删除，RMAN归档备份已经刷出超期的备份集文件

需求：通过RMAN还原归档到线上以进行日志挖掘

 

定位归档日志涉及范围：

select * from v$archived_log l where to_date(‘2018-11-12 16:18:51‘,‘yyyy-mm-dd hh24:mi:ss‘) between L.FIRST_TIME and L.NEXT_TIME;

假设指定时段的归档日志已经被备份规则排除编录并删除，

如果备份也被排除编录、但进行了异机或者磁盘备份则首先需要加回编录：

CATALOG backuppiece ‘/u02/rmanbackup/181113_0215_L1_6201_arc_ECDBN_1pti31lf_1_1.rbf‘;

那么首先需要把归档从备份集还原到文件系统：

restore archivelog from logseq 31128 until logseq 31129 thread 1; --不加thread默认为1

再重新进行编录：

CATALOG ARCHIVELOG ‘+FRA/archivelog/arc_ecdbpr_2_31129_928378592.arc‘;

 

下面是ORACLE日志挖掘的函数操作部分，

Begin
  SYS.DBMS_LOGMNR.ADD_LOGFILE( ‘+FRA/archivelog/arc_ecdbpr_2_31128_928378592.arc‘, 
  sys.dbms_logmnr.New);

  SYS.DBMS_LOGMNR.ADD_LOGFILE( ‘+FRA/archivelog/arc_ecdbpr_2_31129_928378592.arc‘, 
  sys.dbms_logmnr.AddFile);
end;

Begin
  SYS.DBMS_LOGMNR.START_LOGMNR( Options => sys.dbms_logmnr.DICT_FROM_ONLINE_CATALOG );
end;

Select * From V$LOGMNR_CONTENTS Order by 1

 

接下来就是怎么从挖掘出的SQL内容里怎么找出业务跟踪时段的操作单号等等了：

Select scn,timestamp,operation,seg_owner,table_name,sql_redo,SESSION#,SERIAL#,SESSION_INFO,CLIENT_ID,sql_undo
 From V$LOGMNR_CONTENTS lc where LC.SQL_REDO like ‘%DOC20181111550736%‘ Order by 1
;