Auditoría mediante la managed identity en Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse es un almacenamiento relacional de escala empresarial en una base de lago de datos, con una arquitectura lista para el futuro, inteligencia artificial integrada y nuevas características. Si no está familiarizado con el almacenamiento de datos, comience con Fabric Data Warehouse. Las cargas de trabajo del grupo dedicado de SQL pueden actualizarse a Fabric para acceder a funcionalidades avanzadas en ciencia de datos, análisis en tiempo real e informes.

Configura la auditoría para usar una cuenta de almacenamiento con dos métodos de autenticación:

  • Identidad administrada
  • Claves de acceso de almacenamiento

La identidad administrada puede ser una identidad administrada asignada por el sistema (SMI) o asignada por el usuario (UMI).

Para configurar la escritura de registros de auditoría en una cuenta de almacenamiento, ve al portal de Azure y selecciona tu servidor. Seleccione Almacenamiento en el menú Auditoría. Selecciona la cuenta de almacenamiento de Azure donde se guardan los registros.

De forma predeterminada, la identidad que se usa es la identidad de usuario primario asignada al servidor. Si no hay ninguna identidad de usuario, el servidor crea una identidad administrada asignada por el sistema y la usa para la autenticación.

Seleccione el período de retención abriendo las propiedades avanzadas. A continuación, seleccione Guardar. Los registros anteriores al período de retención se eliminarán.

Note

Para configurar la auditoría basada en identidades administradas en Azure Synapse Analytics, consulte la sección Configuración de la identidad administrada asignada por el sistema para la auditoría de Azure Synapse Analytics más adelante en este artículo.

Identidad administrada asignada por el usuario

UMI te da flexibilidad para crear y mantener tu propio UMI para un tenant determinado. Gestionas UMI, en comparación con una identidad gestionada asignada por el sistema, que se define de forma única para cada servidor y es asignada por el sistema.

Configurar la identidad gestionada asignada por el usuario para la auditoría

Antes de poder configurar una auditoría para enviar registros a tu cuenta de almacenamiento, la identidad gestionada asignada al servidor necesita la asignación de rol Storage Blob Data Contributor. Esta asignación es necesaria si configuras auditorías usando PowerShell, la CLI de Azure, la API REST o plantillas ARM. El portal de Azure asigna automáticamente el rol cuando configuras la auditoría a través del portal, así que no necesitas seguir estos pasos si usas el portal.

  1. Vaya al portal Azure.
  2. Crea una identidad gestionada asignada por el usuario si aún no tienes una. Para más información, consulta crear identidad asignada por el usuario.
  3. Vaya a la cuenta de almacenamiento en la que desea configurar la auditoría.
  4. Seleccione el menú Control de acceso (IAM).
  5. Seleccione Agregar>Agregar asignación de rol.
  6. En la pestaña Rol, busca y selecciona Storage Blob Data Contributor. Seleccione Siguiente.
  7. En la pestaña Miembros, seleccione Identidad administrada en la sección Asignar acceso a y luego Seleccionar miembros. Puedes seleccionar la identidad gestionada que creaste para tu servidor.
  8. Seleccione Revisar y asignar.

Para obtener más información, consulte Asignar roles de Azure mediante el portal.

Utiliza las siguientes instrucciones para configurar la auditoría utilizando una identidad gestionada asignada por el usuario.

  1. Vaya al menú Identity del servidor. En la sección Identidad administrada asignada por el usuario, Agregue la identidad administrada.
  2. Selecciona la identidad gestionada añadida como la identidad principal de tu servidor.
  3. Vaya al menú Auditoría del servidor. Seleccione Identidad administrada como Tipo de autenticación de almacenamiento al configurar el Almacenamiento para el servidor.

Note

Cuando configuras la auditoría usando una identidad gestionada, copiar la base de datos a un nuevo servidor o crear una geo-réplica puede interrumpir el registro de auditoría. Esta condición ocurre porque el nuevo servidor tiene una identidad gestionada diferente, que puede no tener acceso a la cuenta de almacenamiento de auditoría. Asegúrate de que la identidad del nuevo servidor tenga los permisos adecuados para mantener la continuidad de auditoría.

Configuración de la identidad administrada asignada por el sistema para la auditoría de Azure Synapse Analytics

No puedes usar autenticación basada en UMI para una cuenta de almacenamiento para auditoría. Solo se puede usar la identidad administrada asignada por el sistema (SMI) para Azure Synapse Analytics. Para que la autenticación SMI funcione, la identidad gestionada debe tener asignado el rol Storage Blob Data Contributor en la configuración de Access Control de la cuenta de almacenamiento. Este rol se añade automáticamente si usas el portal de Azure para configurar la auditoría.

En el portal de Azure para Azure Synapse Analytics, no hay opción de elegir explícitamente la clave SAS o la autenticación SMI.

  • Si la cuenta de almacenamiento está detrás de un VNet o cortafuegos, el sistema configura automáticamente la auditoría mediante autenticación SMI.

  • Si la cuenta de almacenamiento no está detrás de un VNet o cortafuegos, el sistema configura automáticamente la auditoría mediante autenticación basada en claves SAS. Sin embargo, no puedes usar la identidad gestionada si la cuenta de almacenamiento no está detrás de una VNet o cortafuegos.

Para forzar el uso de la autenticación SMI, independientemente de si la cuenta de almacenamiento está detrás de una red virtual o un firewall, use la API REST o PowerShell, como se indica a continuación:

Contenido relacionado

  • Se actualizó por última vez el