Azure Synapse Analytics audit log format

Tip

Microsoft Fabric Data Warehouse es un almacenamiento relacional de escala empresarial en una base de lago de datos, con una arquitectura lista para el futuro, inteligencia artificial integrada y nuevas características. Si no está familiarizado con el almacenamiento de datos, comience con Fabric Data Warehouse. Las cargas de trabajo del grupo dedicado de SQL pueden actualizarse a Fabric para acceder a funcionalidades avanzadas en ciencia de datos, análisis en tiempo real e informes.

Azure Synapse Analytics auditoría rastrea eventos de la base de datos y los escribe en Azure Storage, o los envía a Azure Event Hubs o Azure Monitor Log Analytics para su procesamiento y análisis posteriores.

Convenciones de nomenclatura

Auditoría de blob

Los logs de auditoría almacenados en Azure Blob Storage se almacenan en un contenedor llamado sqldbauditlogs. La jerarquía de directorios dentro del contenedor es <ServerName>/<DatabaseName>/<AuditName>/<Date>/. El formato del nombre del archivo blob es <CreationTime>_<FileNumberInSession>.xel, donde CreationTime utiliza el formato UTC hh_mm_ss_ms y FileNumberInSession es un índice en ejecución cuando una sesión abarca varios archivos blob.

Por ejemplo, la siguiente ruta es válida para la base de datos Database1 en el servidor Server1:

Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel

Event Hubs

Los eventos de auditoría se escriben en el espacio de nombres y el hub de eventos configurados para la auditoría. Los eventos se capturan en el cuerpo de los eventos Avro de Apache y utilizan formato JSON con codificación UTF-8.

Log Analytics

Los eventos de auditoría se escriben en la AzureDiagnostics tabla del espacio de trabajo configurado de Log Analytics. Los eventos de auditoría de bases de datos utilizan la SQLSecurityAuditEvents categoría, y las operaciones de soporte de Microsoft usan la DevOpsOperationsAudit categoría. Para orientaciones de consultas, consulta Log Analytics consultes.

Campos de registro de auditoría

Nombre (mancha) Nombre (Event Hubs/Log Analytics) Description Tipo de blob Tipo Event Hubs/Log Analytics
action_id action_id_s Identificador de la acción. varchar(4) string
action_name action_name_s Nombre de la acción N/A string
additional_information additional_information_s Cualquier información adicional sobre el evento, almacenada como XML nvarchar(4000) string
affected_rows affected_rows_d Número de filas afectadas por la consulta bigint int
application_name application_name_s Nombre de la aplicación cliente nvarchar(128) string
audit_schema_version audit_schema_version_d Siempre 1 int int
class_type class_type_s Tipo de entidad auditable en la que se realiza la auditoría varchar(2) string
class_type_desc class_type_description_s Descripción de la entidad auditable en la que se realiza la auditoría N/A string
client_ip client_ip_s Dirección IP de origen de la aplicación cliente nvarchar(128) string
connection_id N/A Identificador de la conexión en el servidor GUID N/A
data_sensitivity_information data_sensitivity_information_s Tipos de información y etiquetas de confidencialidad devueltas por la consulta auditada, basados en las columnas clasificadas en la base de datos. Para más información, consulta Azure Synapse Analytics security: Threat protection nvarchar(4000) string
database_name database_name_s El contexto de la base de datos en el que ocurrió la acción sysname string
database_principal_id database_principal_id_d ID del contexto de usuario de la base de datos en el que se realiza la acción int int
database_principal_name database_principal_name_s Nombre del contexto del usuario de la base de datos en el que se realiza la acción sysname string
duration_milliseconds duration_milliseconds_d Duración de la ejecución de consultas en milisegundos bigint int
event_time event_time_t Fecha y hora en que se activa la acción auditable datetime2 datetime
host_name N/A Nombre de host del cliente. string N/A
is_column_permission is_column_permission_s Marca que indica si se trata de un permiso de nivel de columna. 1 = verdadero, 0 = falso bit string
N/A is_server_level_audit_s Bandera que indica si esta auditoría es a nivel de servidor N/A string
object_ id object_id_d Identificador de la entidad en la que se produjo la auditoría. Esto incluye los : objetos servidor, bases de datos, objetos de base de datos y objetos esquema. 0 si la entidad es el propio servidor o si la auditoría no se realiza a nivel de objeto int int
object_name object_name_s Nombre de la entidad en la que se produjo la auditoría. Esto incluye los : objetos servidor, bases de datos, objetos de base de datos y objetos esquema. 0 si la entidad es el propio servidor o si la auditoría no se realiza a nivel de objeto sysname string
obo_middle_tier_app_id obo_middle_tier_app_id_s El ID de aplicación de la aplicación de nivel medio que se conectaba a Azure Synapse Analytics usando acceso OBO. varchar(120) string
permission_bitmask permission_bitmask_s Cuando es aplicable, muestra los permisos concedidos, denegados, o revocados. varbinary(16) string
response_rows response_rows_d Número de filas devueltas en el conjunto de resultados bigint int
schema_name schema_name_s Contexto de esquema en el que se produjo la acción. NULL para auditorías que ocurren fuera de un esquema sysname string
N/A securable_class_type_s Objeto asegurable que se asigna al class_type que está auditado N/A string
sequence_group_id sequence_group_id_g Identificador único varbinary GUID
sequence_number sequence_number_d Realiza un seguimiento de la secuencia de registros de un único registro de auditoría que era demasiado grande para caber en el búfer de escritura destinado a las auditorías. Azure Synapse Analytics auditing almacena 4000 caracteres de datos para campos de caracteres en un registro de auditoría. Cuando haya más de 4000 caracteres, cualquier dato que supere los primeros 4000 caracteres se truncará int int
server_instance_name server_instance_name_s Nombre de la instancia del servidor donde se realizó la auditoría sysname string
server_principal_id server_principal_id_d ID del contexto de inicio de sesión en el que se realiza la acción int int
server_principal_name server_principal_name_s Inicio de sesión actual sysname string
server_principal_sid server_principal_sid_s SID de inicio de sesión actual varbinary string
session_id session_id_d ID de la sesión en la que ocurrió el evento smallint int
session_server_principal_name session_server_principal_name_s Principal de servidor para sesión sysname string
statement statement_s Sentencia T-SQL que se ejecutó (si es que existía) nvarchar(4000) string
succeeded succeeded_s Indica si la acción que desencadenó el evento se realizó correctamente. Para eventos distintos a inicio de sesión y lote, esto solo informa si la comprobación de permisos tuvo éxito o falló, no la operación. 1 = éxito, 0 = fracaso bit string
target_database_principal_id target_database_principal_id_d El principal de la base de datos sobre el que se realiza la GRANT//DENYREVOKE operación. 0 si no es aplicable int int
target_database_principal_name target_database_principal_name_s Usuario objetivo de la acción. NULL si no es aplicable string string
target_server_principal_id target_server_principal_id_d Entidad de seguridad del servidor en la que se realiza la GRANT/DENY/REVOKE operación. Retorna 0 si no es aplicable int int
target_server_principal_name target_server_principal_name_s Inicio de sesión de destino de la acción. NULL si no es aplicable sysname string
target_server_principal_sid target_server_principal_sid_s SID del inicio de sesión de destino. NULL si no es aplicable varbinary string
transaction_id transaction_id_d Not populated for Azure Synapse Analytics bigint int
user_defined_event_id user_defined_event_id_d Identificador de evento definido por el usuario pasado como argumento a sp_audit_write. NULL para eventos del sistema (valor predeterminado) y distinto de cero para eventos definidos por el usuario. Para más información, véase sp_audit_write (Transact-SQL) smallint int
user_defined_information user_defined_information_s Información definida por el usuario que se pasa como argumento a sp_audit_write. NULL para eventos del sistema (por defecto) y no cero para eventos definidos por el usuario. Para más información, véase sp_audit_write (Transact-SQL) nvarchar(4000) string

Contenido relacionado

  • Se actualizó por última vez el