Nastavení auditování pro Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse je relační sklad v podnikovém měřítku na základu datového jezera s architekturou připravenou pro budoucnost, integrovanou AI a novými funkcemi. Pokud s datovými sklady začínáte, doporučujeme vám začít s „Fabric Data Warehouse“. Stávající úlohy dedikovaného SQL fondu mohou upgradovat na Fabric a získat tak přístup k novým funkcím napříč datovou vědou, analytikou v reálném čase a reportingem.

V tomto článku se naučíte, jak nastavit audit pro váš logický server nebo databázi v Azure Synapse Analytics.

Nakonfigurujte auditování pro váš server

Výchozí auditní politika zahrnuje následující sadu akčních skupin, které auditují všechny dotazy a uložené procedury prováděné nad databází, stejně jako úspěšná a neúspěšná přihlášení:

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

Pro vlastní filtry a programovou konfiguraci viz Správa auditování Azure Synapse Analytics pomocí rozhraní API.

Note

U pozastaveného vyhrazeného fondu SQL nemůžete povolit auditování. Rychlý start: Pozastavení a obnovení výpočetních prostředků ve vyhrazeném fondu SQL prostřednictvím portálu Azure před konfigurací auditování.

Když nastavíte auditování do pracovního prostoru Log Analytics nebo do cílového umístění Event Hubs na webu Azure Portal nebo pomocí rutiny PowerShellu, vytvoří se nastavení diagnostiky s povolenou kategorií SQLSecurityAuditEvents.

  1. V portálu Azure otevřete prostředek serveru Synapse SQL.
  2. V části Zabezpečení vyberte Auditování.
  3. Povolte auditování na úrovni serveru nebo databáze. Na každou databázi na tomto serveru platí politika na úrovni serveru. Pro doporučení ohledně výběru rozsahu viz Auditní politika na úrovni serveru a databáze.
  4. Vyberte jeden nebo více cílů: Azure Storage, Log Analytics nebo Event Hubs.
  5. Nakonfigurujte každé cílové umístění a pak uložte politiku.

Audit do cíle Azure Storage

Pro konfiguraci zápisu auditních logů do úložného účtu vyberte Storage, vyberte účet a nastavte dobu uchovávání.

  • Pokud je účet za virtuální sítí nebo firewallem, audit používá systémově přiřazenou spravovanou identitu serveru. Přidělte této identitě roli Storage Blob Data Contributor .
  • Pokud účet není za virtuální sítí nebo firewallem, portál konfiguruje autentizaci přístupového klíče k úložišti.

Hodnota retence 0 znamená neomezenou retenci. Pokud změníte retenci z neomezené na omezenou dobu, nová perioda se vztahuje pouze na logy psané po změně.

Pro chráněné úložné účty viz Zápis auditních logů do úložného účtu za virtuální sítí a firewallem.

Upozornění

Pro ověřování úložiště použijte spravovanou identitu. Přístupové klíče k úložišti představují bezpečnostní riziko, protože pokud jsou kompromitovány, neoprávněné osoby mohou přistupovat k vašemu účtu úložiště a potenciálně číst, zapisovat nebo mazat vaše data. Pro snížení těchto rizik pravidelně obměňujte klíče a používejte Azure Key Vault pro bezpečnou správu a obměnu klíčů.

Auditování do služby Log Analytics

Vyberte Log Analytics, vyberte pracovní prostor Log Analytics a uložte politiku. Pokud potřebujete pracovní prostor, podívejte se na Vytvořit pracovní prostor v Log Analytics.

Auditování do cíle služby Event Hubs

Vyberte Event Hubs, vyberte event hub ve stejném regionu jako SQL zdroj Synapse a uložte politiku.

Když konfigurujete audity s Azure externími monitory (například Event Hubs nebo Log Analytics) jako cílem, systém vytvoří další diagnostický zdroj s názvem SQLSecurityAuditEvents_XXXX-XXXX-XXX. Tento zdroj je zásadní pro správné fungování auditu.

Pokud smažete diagnostická nastavení, ať už úmyslně nebo neúmyslně, auditní funkce přestane fungovat a auditní záznamy nebudou odesílány na cílové místo. Aby se tomuto problému předešlo, nastavte upozornění na odstranění diagnostických nastavení tak, aby upozornila uživatele a bylo možné přijmout potřebná opatření. Pro více informací o vytváření akčních skupin a konfiguraci upozornění viz Akční skupiny a Vytvoření nebo úprava pravidla upozornění protokolu aktivit, stavu služby nebo stavu prostředků.

Note

Pokud používáte více cílů, jako je úložný účet, Log Analytics nebo Event Hubs, ujistěte se, že máte oprávnění pro všechny cíle. Jinak ukládání konfigurace auditu selže, protože systém se snaží uložit nastavení pro všechny cíle.

Související obsah

  • Poslední aktualizace v