Auditing pomocí managed identity v Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse je relační sklad v podnikovém měřítku na základu datového jezera s architekturou připravenou pro budoucnost, integrovanou AI a novými funkcemi. Pokud s datovými sklady začínáte, doporučujeme vám začít s „Fabric Data Warehouse“. Stávající úlohy dedikovaného SQL fondu mohou upgradovat na Fabric a získat tak přístup k novým funkcím napříč datovou vědou, analytikou v reálném čase a reportingem.

• Začněte bezplatnou zkušební verzi Fabric.
• Asistent pro migraci pro Fabric Data Warehouse.

Nastavte audit tak, aby používal účet úložiště se dvěma způsoby autentizace:

• Spravovaná identita
• Přístupové klíče k úložišti

Spravovaná identita může být spravovaná identita přiřazená systémem (SMI) nebo spravovaná identita přiřazená uživatelem (UMI).

Pro nastavení psaní auditních logů do úložného účtu přejděte do Azure portálu a vyberte svůj server. V nabídce Auditování vyberte Úložiště. Vyberte účet úložiště Azure, kde se logy ukládají.

Ve výchozím nastavení se používá primární uživatelská identita přiřazená serveru. Pokud neexistuje žádná identita uživatele, server vytvoří spravovanou identitu přiřazenou systémem a použije ji k ověřování.

Vyberte dobu uchovávání otevřením Upřesňujících vlastností. Pak vyberte Uložit. Protokoly starší než doba uchovávání se odstraní.

Note

Pokud chcete nastavit auditování na základě spravované identity ve službě Azure Synapse Analytics, přečtěte si část Konfigurace spravované identity přiřazené systémem pro auditování Azure Synapse Analytics dále v tomto článku.

Spravovaná identita přiřazená uživatelem

UMI vám dává flexibilitu vytvářet a udržovat vlastní UMI pro daný tenant. Spravujete UMI, na rozdíl od systémem přiřazené spravované identity, která je pro každý server jednoznačně definována a přidělována systémem.

Konfigurujte uživatelem přiřazenou spravovanou identitu pro auditování

Než budete moct nastavit audit tak, aby odesílal protokoly do vašeho účtu úložiště, musí mít spravovaná identita přiřazená k serveru přiřazenou roli Storage Blob Data Contributor. Toto přiřazení je potřeba, pokud konfigurujete audity pomocí PowerShellu, Azure CLI, REST API nebo ARM šablon. Azure portál automaticky přiřadí roli při konfiguraci auditu přes portál, takže tyto kroky nemusíte dodržovat, pokud používáte portál.

1. Přejděte na portál Azure.
2. Vytvořte uživatelem přiřazenou spravovanou identitu, pokud ji ještě nemáte. Pro více informací viz vytvoření identity přiřazené uživatelem.
3. Přejděte ke svému účtu úložiště, který chcete nakonfigurovat pro auditování.
4. Vyberte nabídku Řízení přístupu (IAM).
5. Vyberte Přidat>Přidat úlohu.
6. V záložce Role vyhledejte a vyberte Storage Blob Data Contributor. Vyberte Další.
7. Na kartě Členové vyberte spravovanou identitu v části Přiřadit přístup a pak Vybrat členy. Můžete zvolit spravovanou identitu , kterou jste vytvořili pro svůj server.
8. Vyberte Review + assign.

Další informace najdete v tématu Přiřazení rolí Azure pomocí portálu.

Použijte následující instrukce k nakonfigurování auditu pomocí uživatelem přiřazené spravované identity.

Portal

1. Přejděte do nabídky Identita pro váš server. V části Spravovaná identita přiřazená uživatelempřidejte spravovanou identitu.
2. Vyberte přidanou spravovanou identitu jako primární identitu pro váš server.
3. Přejděte do nabídky Auditování pro server. Při konfiguraci úložiště pro váš server vyberte spravovanou identitu jako typ ověřování úložiště.

Rozhraní příkazového řádku Azure

Pro použití spravované identity předejte --storage-key parametr jako prázdný řetězec, abyste použili primární spravovanou identitu přiřazenou serveru při konfiguraci auditu. Tady je ukázkový příkaz:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Další informace najdete v tématu az sql server audit-policy.

PowerShell

Chcete-li použít spravovanou identitu, předejte parametr UseIdentity jako True, abyste použili primární spravovanou identitu přiřazenou k serveru. Tady je ukázkový příkaz:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

Další informace najdete v tématu Set-AzSqlServerAudit.

REST API

Pro použití primární spravované identity přeskočte předání parametru storageAccountAccessKey v požadavku:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Další informace naleznete v tématu Nastavení auditování serveru – Vytvoření nebo aktualizace.

Note

Když konfigurujete audit pomocí spravované identity, kopírování databáze na nový server nebo vytvoření geo-repliky může narušit audit logování. Tento stav nastává, protože nový server má jinou spravovanou identitu, která nemusí mít přístup k účtu auditního úložiště. Ujistěte se, že identita nového serveru má odpovídající oprávnění pro zachování kontinuity auditu.

Nakonfigurujte spravovanou identitu přiřazenou systémem pro auditování Azure Synapse Analytics

Nemůžete použít autentizaci založenou na UMI pro účet úložiště pro audit. Pro Azure Synapse Analytics je možné použít pouze spravovanou identitu přiřazenou systémem (SMI). Aby autentizace SMI fungovala, musí mít spravovaná identita přiřazenou roli Storage Blob Data Contributor v nastavení Access Control úložného účtu. Tato role se automaticky přidá, pokud použijete Azure portál k nastavení auditu.

V portálu Azure pro Azure Synapse Analytics není možnost explicitně zvolit SAS klíč nebo autentizaci SMI.

• Pokud je úložný účet za VNetem nebo firewallem, systém automaticky konfiguruje auditování pomocí autentizace SMI.

• Pokud úložný účet není za VNetem nebo firewallem, systém automaticky konfiguruje audit pomocí autentizace založené na SAS klíči. Spravovanou identitu ale nemůžete použít, pokud účet úložiště není chráněný sítí VNet nebo bránou firewall.

Pokud chcete vynutit použití ověřování SMI bez ohledu na to, jestli je účet úložiště za virtuální sítí nebo bránou firewall, použijte rozhraní REST API nebo PowerShell následujícím způsobem:

• Pokud používáte REST API, explicitně vynechte toto pole StorageAccountAccessKey v těle požadavku.

  Další informace najdete tady:

  • Zásady auditování objektů blob na serveru – Vytvoření nebo aktualizace – REST API (Azure SQL Database)
  • Zásady auditu databázových blobů – Vytvoření nebo aktualizace – REST API (Azure SQL Database)

• Pokud používáte PowerShell, předejte UseIdentity parametr jako true.

  Další informace najdete tady:

  • Set-AzSqlServerAudit (Az.Sql)
  • Set-AzSqlDatabaseAudit (Az.Sql)

Související obsah

• Auditování v Azure Synapse Analytics
• Zapisujte auditní logy do úložného účtu za virtuální sítí a firewallem
• Nastavení auditování pro Azure Synapse Analytics