Überwachung mithilfe der verwalteten Identität in Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse ist ein relationales Enterprise-Warehouse auf einem Data Lake-Fundament mit zukunftsfähiger Architektur, integrierter KI und neuen Features. Wenn Sie mit Data Warehouse noch nicht vertraut sind, beginnen Sie mit Fabric Data Warehouse. Vorhandene dedizierte SQL-Pool-Workloads können auf Fabric aktualisieren, um neue Funktionen in den Bereichen Data Science, Echtzeitanalyse und Berichterstellung zu nutzen.

Konfigurieren Sie das Auditing so, dass ein Speicherkonto mit zwei Authentifizierungsmethoden verwendet wird:

  • Verwaltete Identität
  • Speicherzugriffsschlüssel

Die verwaltete Identität kann eine systemseitig zugewiesene verwaltete Identität (SMI) oder benutzerseitig zugewiesene verwaltete Identität (UMI) sein.

Um das Erstellen von Audit-Logs auf ein Speicherkonto zu konfigurieren, gehe ins Azure-Portal und wähle deinen Server aus. Wählen Sie im Menü Überwachung die Option Speicher aus. Wählen Sie das Azure-Speicherkonto, in dem die Logs gespeichert werden.

Standardmäßig wird die dem Server zugewiesene primäre Benutzeridentität verwendet. Wenn keine Benutzeridentität vorhanden ist, erstellt der Server eine systemseitig zugewiesene verwaltete Identität und verwendet diese für die Authentifizierung.

Wählen Sie den Aufbewahrungszeitraum aus, indem Sie die Erweiterten Eigenschaften öffnen. Klicken Sie dann auf Speichern. Protokolle, die älter als die Aufbewahrungsdauer sind, werden gelöscht.

Note

Informationen zum Einrichten der auf verwalteten Identitäten basierenden Überwachung für Azure Synapse Analytics finden Sie im Abschnitt Konfigurieren einer systemseitig zugewiesenen verwalteten Identität für die Überwachung von Azure Synapse Analytics weiter unten in diesem Artikel.

Vom Benutzer zugewiesene verwaltete Identität

UMI gibt Ihnen die Flexibilität, Ihr eigenes UMI für einen bestimmten Mandanten zu erstellen und zu pflegen. Sie verwalten die UMI, im Gegensatz zu einer systemseitig zugewiesenen verwalteten Identität, die pro Server eindeutig definiert und vom System zugewiesen wird.

Konfigurieren Sie benutzerseitig zugewiesene verwaltete Identität für die Überwachung

Bevor Sie ein Audit einrichten können, um Logs an Ihr Speicherkonto zu senden, benötigt die dem Server zugewiesene verwaltete Identität die Rollenzuweisung Storage Blob Data Contributor . Diese Zuweisung ist erforderlich, wenn Sie die Überwachung mit PowerShell, der Azure CLI, der REST-API oder ARM-Vorlagen konfigurieren. Das Azure-Portal weist die Rolle automatisch zu, wenn du das Audit über das Portal konfigurierst, sodass du diese Schritte nicht befolgen musst, wenn du das Portal nutzt.

  1. Gehen Sie zu Azure-Portal.
  2. Erstelle eine benutzerzugewiesene verwaltete Identität, falls du noch keine hast. Weitere Informationen finden Sie unter benutzerseitig zugewiesene Identität erstellen.
  3. Wechseln Sie zu Ihrem Speicherkonto, das Sie für das Auditing konfigurieren möchten.
  4. Wählen Sie das Menü Zugriffssteuerung (IAM) aus.
  5. Wählen Sie Hinzufügen>Rollenzuweisung hinzufügen aus.
  6. Suchen Sie auf der Registerkarte „Rolle“ nach Storage Blob Data Contributor, und wählen Sie die Option aus. Wählen Sie Weiter aus.
  7. Wählen Sie auf der Registerkarte Mitglieder im Abschnitt Zugriff zuweisen zu die Option Verwaltete Identität und dann Mitglieder auswählen aus. Du kannst die verwaltete Identität auswählen, die du für deinen Server erstellt hast.
  8. Wählen Sie Überprüfen + zuweisen.

Weitere Informationen finden Sie unter Zuweisen von Azure-Rollen über das Azure-Portal.

Verwenden Sie die folgenden Anweisungen, um das Auditing mit einer benutzerseitig zugewiesenen verwalteten Identität zu konfigurieren.

  1. Wechseln Sie zum Menü Identity für Ihren Server. Fügen Sie im Abschnitt Benutzerseitig zugewiesene verwaltete Identität die verwaltete Identität hinzu.
  2. Wählen Sie die hinzugefügte verwaltete Identität als primäre Identität für Ihren Server aus.
  3. Wechseln Sie zum Menü Auditing für den Server. Wählen Sie Verwaltete Identität als Speicherauthentifizierungstyp aus, wenn Sie den Speicher für Ihren Server konfigurieren.

Note

Wenn Sie das Audit mit einer verwalteten Identität konfigurieren, kann das Kopieren der Datenbank auf einen neuen Server oder das Erstellen einer Geo-Replik das Audit-Logging beeinträchtigen. Diese Bedingung tritt auf, weil der neue Server eine andere verwaltete Identität hat, die möglicherweise keinen Zugriff auf das Audit-Speicherkonto hat. Stellen Sie sicher, dass die Identität des neuen Servers die entsprechenden Berechtigungen hat, um die Audit-Kontinuität aufrechtzuerhalten.

Konfigurieren einer systemseitig zugewiesenen verwalteten Identität für das Auditing von Azure Synapse Analytics

Du kannst keine UMI-basierte Authentifizierung für ein Speicherkonto zur Überwachung verwenden. Für Azure Synapse Analytics kann nur die systemseitig zugewiesene verwaltete Identität (SMI) verwendet werden. Damit die SMI-Authentifizierung funktioniert, muss der verwalteten Identität im Access Control des Speicherkontos die Rolle Storage Blob Data Contributor zugewiesen sein. Diese Rolle wird automatisch hinzugefügt, wenn Sie das Azure-Portal zur Konfiguration von Audits verwenden.

Im Azure-Portal für Azure Synapse Analytics gibt es keine Option, explizit SAS-Schlüssel- oder SMI-Authentifizierung auszuwählen.

  • Wenn sich das Speicherkonto hinter einem VNet oder einer Firewall befindet, konfiguriert das System automatisch das Audit mittels SMI-Authentifizierung.

  • Wenn das Speicherkonto nicht hinter einem VNet oder einer Firewall liegt, konfiguriert das System automatisch die Prüfung mittels SAS-Schlüssel-basierter Authentifizierung. Man kann jedoch keine verwaltete Identität verwenden, wenn das Speicherkonto nicht hinter einem VNet oder einer Firewall liegt.

Um die Verwendung der SMI-Authentifizierung unabhängig davon zu erzwingen, ob sich das Speicherkonto hinter einem VNet oder einer Firewall befindet, verwenden Sie die REST-API oder PowerShell wie folgt:

Verwandte Inhalte

  • Zuletzt aktualisiert um