Überwachung für Azure Synapse Analytics einrichten

Tip

Microsoft Fabric Data Warehouse ist ein relationales Enterprise-Warehouse auf einem Data Lake-Fundament mit zukunftsfähiger Architektur, integrierter KI und neuen Features. Wenn Sie mit Data Warehouse noch nicht vertraut sind, beginnen Sie mit Fabric Data Warehouse. Vorhandene dedizierte SQL-Pool-Workloads können auf Fabric aktualisieren, um neue Funktionen in den Bereichen Data Science, Echtzeitanalyse und Berichterstellung zu nutzen.

In diesem Artikel erfahren Sie, wie Sie Audits für Ihren logischen Server oder Ihre Datenbank in Azure Synapse Analytics einrichten.

Konfigurieren Sie das Auditing für Ihren Server

Die Standard-Audit-Richtlinie umfasst folgende Aktionsgruppen, die alle Abfragen und gespeicherten Prozeduren überwachen, die an der Datenbank ausgeführt werden, sowie erfolgreiche und fehlgeschlagene Anmeldungen:

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

Für benutzerdefinierte Filter und programmatische Konfiguration siehe Azure Synapse Analytics-Überwachung mithilfe von APIs verwalten.

Note

Sie können die Überwachung nicht für einen angehaltenen dedizierten SQL-Pool aktivieren. Quickstart: Pausieren und setzen Sie die Rechenressourcen im dedizierten SQL-Pool über das Azure-Portal fort, bevor Sie das Audit konfigurieren.

Wenn Sie das Auditing für einen Log Analytics-Arbeitsbereich oder für ein Event Hubs-Ziel im Azure-Portal oder im PowerShell-Cmdlet konfigurieren, wird eine Diagnoseeinstellung mit SQLSecurityAuditEvents aktivierter Kategorie erstellt.

  1. Öffnen Sie im Azure portal die Synapse SQL Server-Ressource.
  2. Wählen Sie unter "Sicherheit" die Option "Überwachung" aus.
  3. Aktivieren Sie die Überwachung auf Server- oder Datenbankebene. Eine Server-Level-Policy gilt für jede Datenbank auf diesem Server. Hinweise zur Auswahl eines Bereichs finden Sie unter Überwachungsrichtlinie auf Server- und Datenbankebene.
  4. Wählen Sie einen oder mehrere Ziele aus: Azure Storage, Log Analytics oder Event Hubs.
  5. Konfigurieren Sie jedes Ziel und speichern Sie dann die Richtlinie.

Überwachung an Azure Storage-Ziel

Um das Schreiben von Auditprotokollen in ein Speicherkonto zu konfigurieren, wählen Sie Speicher, wählen Sie ein Konto und legen Sie die Aufbewahrungszeit fest.

  • Wenn sich das Konto hinter einem virtuellen Netzwerk oder einer Firewall befindet, verwendet das Audit die vom Server zugewiesene verwaltete Identität. Verleihen Sie dieser Identität die Rolle Storage Blob Data Contributor .
  • Wenn das Konto nicht hinter einem virtuellen Netzwerk oder einer Firewall liegt, konfiguriert das Portal die Authentifizierung mit Speicherkontoschlüssel.

Ein Retentionswert von 0 bedeutet unbegrenzte Aufbewahrung. Wenn du von unbegrenzter Aufbewahrung auf eine begrenzte Frist wechselst, gilt die neue Frist nur für Logs, die nach der Änderung geschrieben wurden.

Für geschützte Speicherkonten siehe Auditprotokolle in ein Speicherkonto hinter einem virtuellen Netzwerk und einer Firewall schreiben.

Warnung

Verwenden Sie für die Speicherauthentifizierung verwaltete Identität. Storage Access Keys stellen ein Sicherheitsrisiko dar, denn wenn sie kompromittiert werden, können unbefugte Personen auf Ihr Speicherkonto zugreifen, möglicherweise Ihre Daten lesen, schreiben oder löschen. Um diese Risiken zu minimieren, rotieren Sie Ihre Schlüssel regelmäßig und nutzen Sie Azure Key Vault, um Ihre Schlüssel sicher zu verwalten und zu rotieren.

Audit an Log Analytics-Ziel

Wählen Sie Log Analytics, wählen Sie einen Log Analytics-Arbeitsbereich und speichern Sie die Richtlinie. Wenn Sie einen Arbeitsbereich benötigen, lesen Sie Erstellen eines Log Analytics-Arbeitsbereichs.

Überwachung an Event Hubs-Ziel

Wählen Sie Event Hubs, wählen Sie einen Event Hub in derselben Region wie die Synapse SQL-Ressource und speichern Sie die Policy.

Wenn Sie das Auditing mit Azure externen Monitoren (z. B. Event Hubs oder Log Analytics) als Ziel konfigurieren, erstellt das System eine zusätzliche Diagnose-Einstellungsressource namens SQLSecurityAuditEvents_XXXX-XXXX-XXX. Diese Ressource ist für das ordnungsgemäße Funktionieren der Auditierung unerlässlich.

Wenn du die Diagnoseeinstellungen löschst, ob absichtlich oder unbeabsichtigt, funktioniert die Audit-Funktion nicht mehr und die Audit-Logs werden nicht mehr an den Zielort gesendet. Um dieses Problem zu verhindern, konfigurieren Sie Warnungen für das Löschen von Diagnoseeinstellungen, um Benutzer zu informieren und notwendige Maßnahmen zu ergreifen. Weitere Informationen zum Erstellen von Aktionsgruppen und zur Konfiguration von Warnungen finden Sie unter Aktionsgruppen und Erstellen oder Bearbeiten einer Aktivitätsprotokoll-, Dienstintegritäts- oder Ressourcenzustandswarnungsregel.

Note

Wenn du mehrere Ziele wie ein Speicherkonto, Log Analytics oder Event Hubs verwendest, stelle sicher, dass du für alle Ziele Berechtigungen hast. Andernfalls schlägt das Speichern der Audit-Konfiguration fehl, weil das System versucht, die Einstellungen für alle Ziele zu speichern.

Verwandte Inhalte

  • Zuletzt aktualisiert um