OneLake-Diagnosen

Die OneLake-Diagnose bietet eine End-to-End-Übersicht darüber, wie auf Daten in Ihrer Microsoft Fabric-Umgebung zugegriffen und verwendet wird. Es ermöglicht Organisationen, kritische Fragen wie "wer auf was zugegriffen hat, wann und wie" zu beantworten und unterstützt dabei die Datengovernance, operative Einblicke und die Compliance-Berichterstattung.

Wenn die Diagnose auf Arbeitsbereichsebene aktiviert ist, werden Datenzugriffsereignisse von OneLake als JSON-Protokolle in einem Lakehouse Ihrer Wahl innerhalb derselben Kapazität gestreamt. Diese Protokolle können einfach in analysefähige Delta-Tabellen umgewandelt werden, sodass Teams Dashboards und Berichte erstellen können, die Nutzungsmuster, meistzugriffene Elemente und Trends im Laufe der Zeit nachverfolgen.

Da alle Daten in Fabric in OneLake vereinheitlicht sind, bieten Diagnosen auf Arbeitsbereichsebene einen konsistenten, vertrauenswürdigen Datensatz der Datenaktivität – egal, wie oder wo die Daten genutzt werden. Dazu gehören:

• Benutzeraktionen in der Fabric-Weboberfläche
• Programmgesteuerter Zugriff über APIs, Pipelines und Analysemodule
• Arbeitsbereich-übergreifende Verknüpfungen, mit Ereignissen, die aus dem Quellarbeitsbereich erfasst werden.

Mit diesem einheitlichen Protokollierungsansatz wird sichergestellt, dass die Sichtbarkeit auch dann beibehalten wird, wenn auf Daten über Verknüpfungen oder über Arbeitsbereiche hinweg zugegriffen wird.

Diagnoseereignisse werden sowohl für Fabric- als auch für Nicht-Fabric-Quellen erfasst. Für den Zugriff über die Fabric-Benutzeroberfläche und die BLOB- oder Azure Data Lake Storage (ADLS)-APIs wird jeder Vorgang protokolliert. Für den Zugriff auf Fabric-Workloads zeichnet es den temporären Zugriff auf, sodass Sie in den modulspezifischen Protokollen weiter nachsehen können. Dadurch wird eine effiziente Protokollierung gewährleistet und gleichzeitig ein Überblick darüber erhalten, wie Daten in Ihrer Organisation genutzt werden.

Beispielszenarien, die von der OneLake-Diagnose unterstützt werden

• Sicherheitsuntersuchung: Verfolgen Sie, welche Benutzer auf vertrauliche Datasets zugegriffen haben, wann und von wo aus. Hilft beim Identifizieren nicht autorisierter Zugriffsversuche oder ungewöhnlicher Muster.
• Problembehandlung bei der Leistung: Diagnostizieren von Latenz- oder Fehlerproblemen durch Korrelieren von Diagnoseereignissen mit Benutzeraktionen oder Systeminteraktionen.
• Nutzungsanalysen und Optimierung: Verstehen Sie, auf welche Datasets am häufigsten zugegriffen wird, von wem und wie oft. Unterstützt Datengovernance und Ressourcenoptimierung.
• Integrationsüberwachung: Überwachen Sie externe Systeme, die mit OneLake interagieren (über APIs oder Connectors), um sicherzustellen, dass Integrationen erwartungsgemäß funktionieren und Probleme diagnostizieren, wenn sie auftreten.

Konfigurieren der OneLake-Diagnose

Empfehlungen für bewährte Methoden

Um die Verwaltung zu vereinfachen und die Zugriffssteuerung zu verbessern, sollten Sie einen dedizierten Arbeitsbereich zum Speichern von Diagnoseereignissen verwenden. Wenn Sie die Diagnose über mehrere Arbeitsbereiche hinweg in derselben Kapazität aktivieren, sollten Sie Protokolle in einem einzigen Lakehouse zentralisieren, um die Analyse zu vereinfachen.

Voraussetzungen

• Erstellen Sie ein Lakehouse zum Speichern von OneLake-Diagnoseereignissen.
• Das Lakehouse muss sich in derselben Kapazität wie die Arbeitsbereiche befinden, für die Sie die Diagnose aktivieren möchten.
• Wenn der Arbeitsbereich private Verbindungen für den Schutz eingehender Netzwerke verwendet, muss er sich innerhalb desselben virtuellen Netzwerks wie das Lakehouse befinden.
• Sie müssen der Administrator für den Arbeitsbereich sein, in dem Sie die OneLake-Diagnose aktivieren, und ein Mitwirkender im Ziel-Lakehouse sein.

Aktivieren der OneLake-Diagnose

Führen Sie die folgenden Schritte aus, um die OneLake-Diagnose zu aktivieren:

1. Öffnen Sie die Arbeitsbereichseinstellungen.
2. Navigieren Sie zur Registerkarte "OneLake-Einstellungen".
3. Schalten Sie "Diagnoseereignisse zu einem Lakehouse hinzufügen" auf Ein.
4. Wählen Sie das Lakehouse aus, in dem Sie die Diagnoseereignisse speichern möchten.

Hinweis

Es dauert bis zu 1 Stunde, bis Diagnoseereignisse in das Lakehouse fließen.

Ändern des OneLake Diagnostic Lakehouse

1. Öffnen Sie die Arbeitsbereichseinstellungen.
2. Wechseln Sie zur Registerkarte "OneLake-Einstellungen".
3. Ersetzen Sie das Lakehouse.
4. Wählen Sie ein neues Lakehouse aus.

Hinweis

Zuvor erfasste Diagnoseereignisse verbleiben im ursprünglichen Lakehouse. Neue Ereignisse werden im neu ausgewählten Lakehouse gespeichert.

Deaktivieren der OneLake-Diagnose

1. Öffnen Sie die Arbeitsbereichseinstellungen.
2. Navigieren Sie zur Registerkarte "OneLake-Einstellungen".
3. Schalten Sie "Diagnoseereignisse zu einem Lakehouse hinzufügen" auf "Aus".

Hinweis

Das zuvor ausgewählte Lakehouse wird beibehalten. Wenn Sie die Diagnose erneut aktivieren, wird dasselbe Lakehouse wie zuvor verwendet.

OneLake-Diagnoseereignisse

OneLake-Diagnoseereignisse werden im Ordner "DiagnosticLogs" im Abschnitt "Dateien" eines Lakehouse gespeichert. JSON-Dateien werden in einen Ordner mit dem folgenden Pfad geschrieben: Files/DiagnosticLogs/OneLake/Workspaces/WorkspaceId/y=YYYY/m=MM/d=DD/h=HH/m=00/PT1H.json

Das JSON-Ereignis enthält die folgenden Attribute:

Eigentum	Description
workspaceId	Die GUID des Arbeitsbereichs, bei dem die Diagnose aktiviert ist.
Artikel-ID	Die GUID des Fabric-Objekts, zum Beispiel des Lakehouse, das den OneLake-Vorgang ausführt.
Elementtyp	Die Art des Elements, das den OneLake-Vorgang ausgeführt hat
tenantId	Die Mandanten-ID, die den OneLake-Vorgang durchgeführt hat
AusführendeHauptId	Die GUID des Microsoft Entra-Prinzips, das den OneLake-Vorgang ausführt
correlationId	Eine GUID-Korrelations-ID für den OneLake-Vorgang
Betriebsname	Der gerade durchgeführte OneLake-Vorgang (steht nicht für interne Fabric-Vorgänge zur Verfügung). Weitere Informationen finden Sie unter "Vorgänge " weiter unten.
Betriebskategorie	Die allgemeine Kategorie des OneLake-Vorgangs (z. B. Lesen)
executingUPN	Der eindeutige Prinzipalname von Microsoft Entra, der den Vorgang ausführt (nicht für interne Fabric-Vorgänge bereitgestellt)
AusführungsPrincipalTyp	Der Typ des verwendeten Prinzipals, z. B. "Benutzer" oder "Dienstprinzipal"
Zugriffsstartzeit	Die Zeit, zu der der Vorgang ausgeführt wurde. Wenn temporärer Zugriff bereitgestellt wird, wird die Zeit angegeben, zu der der temporäre Zugriff begann.
Zugriffsendzeit	Der Zeitpunkt, zu dem der Vorgang abgeschlossen wurde. Wenn der temporäre Zugriff bereitgestellt wird, wird der temporäre Zugriff abgeschlossen.
Ursprungsanwendung	Die Arbeitsauslastung während der Durchführung des Vorgangs. Für den externen Zugriff ist "originatingApp" der User-Agent-String.
serviceEndpoint	Der verwendete OneLake-Dienstendpunkt (DFS, Blob oder Andere)
Resource	Auf die ressourcen, auf die zugegriffen wird (relativ zum Arbeitsbereich)
Kapazitäts-ID	Der Bezeichner der Kapazität, die den OneLake-Vorgang ausführt
httpStatusCode	Der Statuscode, der an den Benutzer zurückgegeben wird
isShortcut	Gibt an, ob der Zugriff über eine Verknüpfung erfolgt ist.
accessedViaResource	Auf die Ressource, über die die Daten zugegriffen wurde. Wenn eine Verknüpfung verwendet wird, ist dies der Speicherort der Verknüpfung.
Aufrufer-IP-Adresse	Die IP-Adresse des Anrufers

Personenbezogene Daten

Zu den OneLake-Diagnoseereignissen gehören executingUPN und callerIpAddress. Um diese Daten zu redigieren, können Mandantenadministratoren die Einstellung "Endbenutzer-IDs in OneLake-Diagnoseprotokolle einschließen" im Fabric Admin Portal deaktivieren. Wenn diese Felder deaktiviert sind, werden diese Felder von neuen Diagnoseereignissen ausgeschlossen.

Häufig gestellte Fragen (FAQ)

Was geschieht, wenn das Ziel Lakehouse gelöscht wird?

Wenn das für die Diagnose ausgewählte Lakehouse gelöscht wird:

• Die Diagnose wird für alle Arbeitsbereiche, die darauf verweisen, automatisch deaktiviert.
• Zuvor erfasste Diagnosedaten werden nicht gelöscht – sie verbleibt im gelöschten Lakehouse-Speicher, bis der Arbeitsbereich selbst gelöscht wird. Um die Diagnose fortzusetzen, wählen Sie ein neues Lakehouse im selben Arbeitsbereich aus. OneLake aktiviert die Diagnose, und alle zuvor erfassten Protokolle bleiben zugänglich.

Was geschieht, wenn der Arbeitsbereich gelöscht wird?

• Wenn ein Arbeitsbereich gelöscht wird, werden auch die OneLake-Diagnose für diesen Arbeitsbereich gelöscht.
• Wenn der Arbeitsbereich wiederhergestellt wird, werden die Diagnosedaten wiederhergestellt.
• Sobald der Arbeitsbereich endgültig gelöscht wurde, werden auch die zugehörigen Diagnoseereignisse dauerhaft entfernt.

Was geschieht, wenn Sie Kapazitäten ändern?

• Wenn ein Arbeitsbereich in eine andere Kapazität verschoben wird, ist die Diagnoseprotokollierung deaktiviert.
• Sie müssen ein neues Lakehouse innerhalb der neuen Kapazität auswählen , um die Diagnose erneut zu aktivieren.

Was geschieht, wenn BCDR für den Arbeitsbereich aktiviert ist?

• Wenn Business Continuity and Disaster Recovery (BCDR) aktiviert ist, werden OneLake-Diagnosedaten in die sekundäre Region repliziert und können über die OneLake-APIs zugänglich sein, wenn ein Failover auftritt.

Können Sie die OneLake-Diagnose überwachen?

• Ja. Wenn die Arbeitsbereichüberwachung aktiviert, deaktiviert oder das Lakehouse aktualisiert wird, wird ein ModifyOneLakeDiagnosticSettings-Ereignis in den Microsoft 365-Sicherheitsprotokollen erfasst, sodass Sie Änderungen an Diagnoseeinstellungen überwachen können.

Wie viel Verbrauch generiert die OneLake-Diagnose?

• Die OneLake-Diagnose ist vergleichbar mit den Kosten für die Azure Storage-Diagnose, wenn sie an ein Speicherkonto emittiert wird. Die neuesten Details finden Sie auf der offiziellen Preisseite: OneLake-Verbrauch – Microsoft Fabric | Microsoft Learn.

Einschränkungen

Die OneLake-Diagnose ist derzeit nicht mit dem Arbeitsbereichsschutz für ausgehenden Zugriff (Outbound Access Protection, OAP) für Arbeitsbereiche kompatibel. Wenn Sie oneLake-Diagnose und OAP für die Zusammenarbeit benötigen, müssen Sie ein Lakehouse im selben Arbeitsbereich auswählen.

Wenn die OneLake-Diagnose konfiguriert ist, berücksichtigt die Auswahl des Arbeitsbereichs die Konfiguration für private Links des Arbeitsbereichs, indem Sie Ihre Auswahl auf Arbeitsbereiche innerhalb desselben privaten Netzwerks beschränken. Die OneLake-Diagnose reagiert jedoch nicht automatisch auf Netzwerkänderungen.

Operationen

Globale Vorgänge

Operation	Kategorie
ReadFileOrGetBlob	Lesen Sie
GetFileOrBlobProperties	Lesen Sie
GetActionFileOrBlobProperties	Lesen Sie
CheckAccessFileOrBlob	Lesen Sie
DeleteFileOrBlob	Löschen

Blob-Vorgänge

Operation	Kategorie
GetBlockList	Lesen Sie
ListBlob	Lesen Sie
GetBlob	Lesen Sie
DeleteBlob	Löschen
UndeleteBlob	Schreiben
GetBlobMetadata	Lesen Sie
Ablaufdatum für Blob festlegen	Schreiben
SetBlobMetadata	Schreiben
SetBlobProperties	Schreiben
SetBlobTier	Schreiben
LeaseBlob	Schreiben
AbortCopyBlob	Schreiben
PutBlockFromURL	Schreiben
PutBlock	Schreiben
PutBlockList	Schreiben
AppendBlockFromURL	Schreiben
BlockAnfügen	Schreiben
AppendBlobSeal	Schreiben
PutBlobFromURL	Schreiben
CopyBlob	Schreiben
PutBlob	Schreiben
QueryBlobContents	Lesen Sie
GetBlobProperties	Lesen Sie
ContainerErstellen	Schreiben
Container löschen	Löschen
GetContainerMetadata	Lesen Sie
GetContainerProperties	Lesen Sie
SetContainerMetadata	Schreiben
SetContainerAcl	Schreiben
LeaseContainer	Schreiben
RestoreContainer	Schreiben
SnapshotBlob	Schreiben
CreateFastPathReadSession	Lesen Sie
CreateFastPathWriteSession	Schreiben

DFS-Vorgänge

Operation	Kategorie
CreateFileSystem	Schreiben
PatchFileSystem	Schreiben
DeleteFileSystem	Löschen
GetFileSystemProperties	Lesen Sie
CreateDirectory	Schreiben
CreateFile	Schreiben
DeleteDirectory	Löschen
DeleteFile	Löschen
DateiOderVerzeichnisUmbenennen	Schreiben
ListFilePath	Lesen Sie
AppendDataToFile	Schreiben
FlushDataToFile	Schreiben
SetFileProperties	Schreiben
SetAccessControlForFile (ZugriffssteuerungFürDateiSetzen)	Schreiben
SetAccessControlForDirectory	Schreiben
LeasePath	Schreiben
GetPathStatus	Lesen Sie
GetAccessControlListFürDatei	Lesen Sie

Fabric-Vorgänge

Operation	Kategorie
FabricWorkloadAccess	Lesen Sie