Azure Synapse Analytics audit log format

Tip

Microsoft Fabric Data Warehouse ist ein relationales Enterprise-Warehouse auf einem Data Lake-Fundament mit zukunftsfähiger Architektur, integrierter KI und neuen Features. Wenn Sie mit Data Warehouse noch nicht vertraut sind, beginnen Sie mit Fabric Data Warehouse. Vorhandene dedizierte SQL-Pool-Workloads können auf Fabric aktualisieren, um neue Funktionen in den Bereichen Data Science, Echtzeitanalyse und Berichterstellung zu nutzen.

Azure Synapse Analytics Auditing verfolgt Datenbankereignisse und schreibt sie an Azure Storage oder sendet sie an Azure Event Hubs oder Azure Monitor Log Analytics zur nachgelagerten Verarbeitung und Analyse.

Benennungskonventionen

Blob-Audit

Auditprotokolle, die in Azure Blob Storage gespeichert sind, werden in einem Container namens sqldbauditlogsgespeichert. Die Verzeichnishierarchie im Container ist <ServerName>/<DatabaseName>/<AuditName>/<Date>/. Das Blob-Dateinamensformat ist <CreationTime>_<FileNumberInSession>.xel, wobei CreationTime das UTC-Format hh_mm_ss_ms verwendet wird und FileNumberInSession ein laufender Index ist, wenn eine Sitzung mehrere Blob-Dateien umfasst.

Zum Beispiel ist der folgende Pfad für Datenbanken Database1 auf dem Server Server1gültig:

Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel

Event Hubs

Audit-Events werden in den Namespace und Event Hub geschrieben, die für das Auditing konfiguriert sind. Ereignisse werden im Körper der Apache Avro Events erfasst und verwenden JSON-Formatierung mit UTF-8-Codierung.

Log Analytics

Audit-Ereignisse werden in die AzureDiagnostics Tabelle im konfigurierten Log Analytics-Arbeitsbereich geschrieben. Datenbank-Audit-Ereignisse verwenden die SQLSecurityAuditEvents Kategorie, und Microsoft-Support-Operationen verwenden die DevOpsOperationsAudit Kategorie. Für Abfragehinweise siehe Log Analytics Anfragen.

Prüfungsprotokollfelder

Name (Blob) Name (Event Hubs/Log Analytics) Description Blobtyp Event Hubs/Log Analytics-Typ
action_id action_id_s ID der Aktion varchar(4) string
action_name action_name_s Name der Aktion N/A string
additional_information additional_information_s Alle zusätzlichen Informationen zum Ereignis, gespeichert als XML nvarchar(4000) string
affected_rows affected_rows_d Anzahl der von der Abfrage betroffenen Zeilen bigint int
application_name application_name_s Name der Client-Anwendung nvarchar(128) string
audit_schema_version audit_schema_version_d Immer 1 int int
class_type class_type_s Art der prüfbaren Einrichtung, auf der die Prüfung stattfindet. varchar(2) string
class_type_desc class_type_description_s Beschreibung der prüfbaren Einrichtung, auf der die Prüfung stattfindet N/A string
client_ip client_ip_s Quell-IP-Adresse der Clientanwendung nvarchar(128) string
connection_id N/A ID der Verbindung auf dem Server GUID N/A
data_sensitivity_information data_sensitivity_information_s Informationstypen und Vertraulichkeitsbezeichnungen, die von der überwachten Abfrage zurückgegeben werden (je nach klassifizierter Spalte in der Datenbank). Weitere Informationen finden Sie unter Azure Synapse Analytics security: Threat Protection nvarchar(4000) string
database_name database_name_s Der Datenbankkontext, in dem die Aktion stattfand sysname string
database_principal_id database_principal_id_d ID des Datenbankbenutzerkontexts, in dem die Aktion ausgeführt wird int int
database_principal_name database_principal_name_s Name des Datenbank-Benutzerkontexts, in dem die Aktion ausgeführt wird sysname string
duration_milliseconds duration_milliseconds_d Dauer der Abfrageausführung in Millisekunden bigint int
event_time event_time_t Datum und Uhrzeit, an dem die prüfbare Aktion ausgelöst wird datetime2 datetime
host_name N/A Clienthostname string N/A
is_column_permission is_column_permission_s Indikator, der angibt, ob es sich um eine Berechtigung auf Spaltenebene handelt. 1 = wahr, 0 = falsch bit string
N/A is_server_level_audit_s Markierung, die anzeigt, ob dieses Audit auf Serverebene stattfindet. N/A string
object_ id object_id_d ID der Entität, für die die Überwachung durchgeführt wurde Dazu gehören : Serverobjekte, Datenbanken, Datenbankobjekte und Schema-Objekte. 0, wenn die Entität der Server selbst ist oder wenn das Audit nicht auf Objektebene durchgeführt wird int int
object_name object_name_s Name der Entität, für die die Überwachung durchgeführt wurde Dazu gehören : Serverobjekte, Datenbanken, Datenbankobjekte und Schema-Objekte. 0, wenn die Entität der Server selbst ist oder wenn das Audit nicht auf Objektebene durchgeführt wird sysname string
obo_middle_tier_app_id obo_middle_tier_app_id_s Die Anwendungs-ID der Middle-Tier-Anwendung, die mit Azure Synapse Analytics über OBO Access verbunden war. varchar(120) string
permission_bitmask permission_bitmask_s Zeigt ggf. die Berechtigungen an, die erteilt, verweigert oder widerrufen wurden. varbinary(16) string
response_rows response_rows_d Anzahl der im Ergebnissatz zurückgegebenen Zeilen bigint int
schema_name schema_name_s Schemakontext, in dem die Aktion durchgeführt wurde NULL für Prüfungen, die außerhalb eines Schemas stattfinden sysname string
N/A securable_class_type_s Securables Objekt, das auf das geprüfte class_type Objekt abgebildet wird N/A string
sequence_group_id sequence_group_id_g Eindeutiger Bezeichner varbinary GUID
sequence_number sequence_number_d Verfolgt die Reihenfolge der Datensätze innerhalb eines einzelnen Überwachungsdatensatzes, der zu groß für den Schreibpuffer für Überwachungen ist. Azure Synapse Analytics Auditing speichert 4000 Zeichen an Daten für Zeichenfelder in einem Audit-Datensatz. Wenn es mehr als 4000 Zeichen gibt, werden alle Daten über die ersten 4000 Zeichen hinaus abgeschnitten int int
server_instance_name server_instance_name_s Name der Serverinstanz, in der das Audit stattfand sysname string
server_principal_id server_principal_id_d ID des Login-Kontexts, in dem die Aktion ausgeführt wird int int
server_principal_name server_principal_name_s Aktueller Login sysname string
server_principal_sid server_principal_sid_s Aktuelles Login-SID varbinary string
session_id session_id_d ID der Sitzung, in der das Ereignis stattfand smallint int
session_server_principal_name session_server_principal_name_s Serverprinzip für die Sitzung sysname string
statement statement_s T-SQL-Anweisung, die ausgeführt wurde (falls vorhanden) nvarchar(4000) string
succeeded succeeded_s Gibt an, ob die Aktion, die das Ereignis ausgelöst hat, erfolgreich war. Für andere Ereignisse als Login und Batch wird nur angezeigt, ob die Berechtigungsprüfung erfolgreich war oder fehlgeschlagen, nicht die Operation. 1 = Erfolg, 0 = Fehlschlag bit string
target_database_principal_id target_database_principal_id_d Das Datenbankprinzip, auf dem die Operation GRANT//DENYREVOKE ausgeführt wird. 0, falls nicht anwendbar. int int
target_database_principal_name target_database_principal_name_s Zielbenutzer der Aktion NULL falls nicht zutreffend string string
target_server_principal_id target_server_principal_id_d Serverprinzipal, für den der GRANT/DENY/REVOKE Vorgang ausgeführt wird. Gibt 0 zurück, falls nicht anwendbar int int
target_server_principal_name target_server_principal_name_s Zielanmeldung der Aktion. NULL falls nicht zutreffend sysname string
target_server_principal_sid target_server_principal_sid_s SID des Ziel-Logins NULL falls nicht zutreffend varbinary string
transaction_id transaction_id_d Not fillated for Azure Synapse Analytics bigint int
user_defined_event_id user_defined_event_id_d Benutzerdefinierte Ereignis-ID, die als Argument übergeben wird sp_audit_write. NULL für Systemereignisse (Standard) und ungleich Null für benutzerdefinierte Ereignisse. Für weitere Informationen siehe sp_audit_write (Transact-SQL) smallint int
user_defined_information user_defined_information_s Benutzerdefinierte Informationen wurden als Argument an sp_audit_writeübergeben. NULL für Systemereignisse (Standard) und nicht-null für benutzerdefinierte Ereignisse. Für weitere Informationen siehe sp_audit_write (Transact-SQL) nvarchar(4000) string

Verwandte Inhalte

  • Zuletzt aktualisiert um