Azure Synapse Analytics audit log format

Tip

Microsoft Fabric Data Warehouse je relační sklad v podnikovém měřítku na základu datového jezera s architekturou připravenou pro budoucnost, integrovanou AI a novými funkcemi. Pokud s datovými sklady začínáte, doporučujeme vám začít s „Fabric Data Warehouse“. Stávající úlohy dedikovaného SQL fondu mohou upgradovat na Fabric a získat tak přístup k novým funkcím napříč datovou vědou, analytikou v reálném čase a reportingem.

Azure Synapse Analytics auditování sleduje události v databázi a zapisuje je do Azure Storage, nebo je posílá do Azure Event Hubs či Azure Monitor Log Analytics k následnému zpracování a analýze.

Názvoslovné konvence

Blob audit

Auditní logy uložené v Azure Blob Storage jsou uloženy v kontejneru jménem sqldbauditlogs. Hierarchie adresářů v kontejneru je .<ServerName>/<DatabaseName>/<AuditName>/<Date>/ Formát názvu souboru blob je <CreationTime>_<FileNumberInSession>.xel, kde CreationTime používá formát UTC hh_mm_ss_ms a FileNumberInSession je běžící index, když relace zahrnuje více souborů blobů.

Například následující cesta platí pro databázi Database1 na serveru Server1:

Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel

Centra událostí

Auditní události jsou zapisovány do jmenného prostoru a event hubu nastaveného pro audit. Události jsou zachyceny v těle událostí Apache Avro a používají formátování JSON s kódováním UTF-8.

Analýza protokolů

Auditní události jsou zapsány do tabulky AzureDiagnostics v konfigurovaném pracovním prostoru Log Analytics. Události auditu databáze používají tuto SQLSecurityAuditEvents kategorii a Microsoft podpora tuto kategorii používá.DevOpsOperationsAudit Pro pokyny k dotazům viz Log Analytics dotazy.

Pole auditních záznamů

Název (blob) Název (Event Hubs/Log Analytics) Description Typ objektu blob Typ Event Hubs/Log Analytics
action_id action_id_s ID akce varchar(4) string
action_name action_name_s Název akce N/A string
additional_information additional_information_s Jakékoli další informace o události uložené jako XML nvarchar(4000) string
affected_rows affected_rows_d Počet řádků ovlivněných dotazem bigint int
application_name application_name_s Název klientské aplikace nvarchar(128) string
audit_schema_version audit_schema_version_d Vždy 1 int int
class_type class_type_s Typ auditovatelné entity, na které audit probíhá varchar(2) string
class_type_desc class_type_description_s Popis auditovatelné entity, na které audit probíhá N/A string
client_ip client_ip_s Zdrojová IP adresa klientské aplikace nvarchar(128) string
connection_id N/A ID připojení na serveru GUID N/A
data_sensitivity_information data_sensitivity_information_s Typy informací a popisky citlivosti vrácené auditovaným dotazem na základě klasifikovaných sloupců v databázi. Pro více informací viz Azure Synapse Analytics security: Threat protection nvarchar(4000) string
database_name database_name_s Databázový kontext, ve kterém akce proběhla sysname string
database_principal_id database_principal_id_d ID uživatelského kontextu databáze, ve kterém je akce provedena int int
database_principal_name database_principal_name_s Název uživatelského kontextu databáze, ve kterém je akce provedena sysname string
duration_milliseconds duration_milliseconds_d Doba trvání provádění dotazů v milisekundách bigint int
event_time event_time_t Datum a čas zahájení auditovatelné akce datetime2 datetime
host_name N/A Klientské hostitelské jméno string N/A
is_column_permission is_column_permission_s Příznak označující, jestli se jedná o oprávnění na úrovni sloupce. 1 = pravda, 0 = nepravda bit string
N/A is_server_level_audit_s Příznak označující, zda je audit na úrovni serveru N/A string
object_ id object_id_d ID entity, na které došlo k auditu. To zahrnuje : serverové objekty, databáze, databázové objekty a schématové objekty. 0, pokud je entita samotným serverem, nebo pokud audit není proveden na úrovni objektu int int
object_name object_name_s Název entity, na které došlo k auditu. To zahrnuje : serverové objekty, databáze, databázové objekty a schématové objekty. 0, pokud je entita samotným serverem, nebo pokud audit není proveden na úrovni objektu sysname string
obo_middle_tier_app_id obo_middle_tier_app_id_s Aplikační ID střední úrovně, která se připojila k Azure Synapse Analytics pomocí OBO access. varchar(120) string
permission_bitmask permission_bitmask_s Pokud je to relevantní, ukazuje povolení, která byla udělena, zamítnuta nebo odebrána varbinary(16) string
response_rows response_rows_d Počet řádků vrácených ve výsledné množině bigint int
schema_name schema_name_s Kontext schématu, ve kterém došlo k akci. NULL pro audity probíhající mimo schéma sysname string
N/A securable_class_type_s Zabezpečený objekt, který se mapuje na auditovaný class_type objekt N/A string
sequence_group_id sequence_group_id_g Jedinečný identifikátor varbinary GUID
sequence_number sequence_number_d Sleduje posloupnost záznamů v rámci jednoho záznamu auditu, který byl příliš velký, aby se vešel do vyrovnávací paměti pro zápis auditů. Azure Synapse Analytics auditing ukládá 4000 znaků dat pro pole znaků v auditním záznamu. Pokud je více než 4000 znaků, všechna data nad prvních 4000 znaků budou zkrácena int int
server_instance_name server_instance_name_s Název instance serveru, kde audit proběhl sysname string
server_principal_id server_principal_id_d ID přihlašovacího kontextu, ve kterém je akce provedena int int
server_principal_name server_principal_name_s Aktuální přihlášení sysname string
server_principal_sid server_principal_sid_s Aktuální přihlášení SID varbinary string
session_id session_id_d ID relace, na které se událost odehrála smallint int
session_server_principal_name session_server_principal_name_s Server principal pro relaci sysname string
statement statement_s T-SQL příkaz, který byl vykonán (pokud nějaký existuje) nvarchar(4000) string
succeeded succeeded_s Určuje, jestli akce, která aktivovala událost, byla úspěšná. Pro události jiné než přihlášení a dávkování se hlásí pouze to, zda kontrola oprávnění uspěla nebo ne, nikoli samotná operace. 1 = úspěch, 0 = neúspěch bit string
target_database_principal_id target_database_principal_id_d Princip databáze, na kterém GRANT//DENYREVOKE se operace provádí. 0, pokud není použitelné. int int
target_database_principal_name target_database_principal_name_s Cílový uživatel akce. NULL pokud není relevantní string string
target_server_principal_id target_server_principal_id_d Objekt zabezpečení serveru, na GRANT/DENY/REVOKE který se operace provádí. Pokud není použitelné, vrací 0 int int
target_server_principal_name target_server_principal_name_s Cílové přihlášení k akci. NULL pokud není relevantní sysname string
target_server_principal_sid target_server_principal_sid_s SID pro cílové přihlášení. NULL pokud není relevantní varbinary string
transaction_id transaction_id_d Not populated for Azure Synapse Analytics bigint int
user_defined_event_id user_defined_event_id_d ID události definované uživatelem předané jako argument .sp_audit_write NULL pro systémové události (výchozí) a nenulové pro uživatelem definovanou událost. Pro více informací viz sp_audit_write (Transact-SQL) smallint int
user_defined_information user_defined_information_s Uživatelem definovaná informace předávaná jako argument do sp_audit_write. NULL pro systémové události (výchozí) a nenulové pro uživatelem definované události. Pro více informací viz sp_audit_write (Transact-SQL) nvarchar(4000) string

Související obsah

  • Poslední aktualizace v