Configurar la auditoría para Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse es un almacenamiento relacional de escala empresarial en una base de lago de datos, con una arquitectura lista para el futuro, inteligencia artificial integrada y nuevas características. Si no está familiarizado con el almacenamiento de datos, comience con Fabric Data Warehouse. Las cargas de trabajo del grupo dedicado de SQL pueden actualizarse a Fabric para acceder a funcionalidades avanzadas en ciencia de datos, análisis en tiempo real e informes.

En este artículo, aprendes cómo configurar auditorías para tu servidor lógico o base de datos en Azure Synapse Analytics.

Configura la auditoría para tu servidor

La política de auditoría predeterminada incluye el siguiente conjunto de grupos de acciones, que auditan todas las consultas y procedimientos almacenados ejecutados en la base de datos, así como los inicios de sesión exitosos y fallidos:

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

Para filtros personalizados y configuración programática, consulta Gestionar auditoría de Azure Synapse Analytics usando APIs.

Note

No se puede habilitar la auditoría en un grupo de SQL dedicado en estado de pausa. Inicio rápido: Pausa y reanuda el cálculo en un pool SQL dedicado a través del portal de Azure antes de configurar la auditoría.

Cuando configuras la auditoría en un espacio de trabajo de Log Analytics o en un destino de Event Hubs en el portal de Azure o en el cmdlet de PowerShell, se crea una Configuración de Diagnóstico con SQLSecurityAuditEvents la categoría activada.

  1. En el portal de Azure, abre el recurso del servidor SQL de Synapse.
  2. En Seguridad, seleccione Auditoría.
  3. Habilitar la auditoría a nivel de servidor o base de datos. Una política a nivel de servidor se aplica a todas las bases de datos en ese servidor. Para orientación sobre la selección de un alcance, consulte Política de auditoría a nivel de servidor y base de datos.
  4. Selecciona uno o más destinos: Azure Storage, Log Analytics o Event Hubs.
  5. Configura cada destino y luego guarda la política.

Auditar al destino de Azure Storage

Para configurar la escritura de registros de auditoría en una cuenta de almacenamiento, selecciona Storage, elige una cuenta y establece el periodo de retención.

  • Si la cuenta está detrás de una red virtual o cortafuegos, la auditoría utiliza la identidad administrada asignada por el sistema del servidor. Asigne a esa identidad el rol Storage Blob Data Contributor.
  • Si la cuenta no está detrás de una red virtual o firewall, el portal configura la autenticación de la clave de acceso al almacenamiento.

Un valor de retención de 0 significa retención ilimitada. Si cambias de retención ilimitada a un periodo finito, el nuevo periodo solo se aplica a los registros escritos después del cambio.

Para cuentas de almacenamiento protegidas, consulte Escribir registros de auditoría en una cuenta de almacenamiento detrás de una red virtual y un cortafuegos.

Advertencia

Para la autenticación de almacenamiento, use Identidad administrada. Las Claves de Acceso al Almacenamiento suponen un riesgo de seguridad porque, si se ven comprometidas, personas no autorizadas pueden acceder a tu cuenta de almacenamiento, leyendo, escribiendo o eliminando tus datos. Para mitigar estos riesgos, rota tus claves regularmente y utiliza Azure Key Vault para gestionar y rotar tus claves de forma segura.

Auditoría al destino de Log Analytics

Selecciona Log Analytics, elige un espacio de trabajo de Log Analytics y guarda la política. Si necesitas un espacio de trabajo, consulta Crear un espacio de trabajo de Log Analytics.

Auditoría en el destino de Event Hubs

Selecciona Event Hubs, elige un event hub en la misma región que el recurso SQL de Synapse y guarda la política.

Cuando configuras auditorías con Azure monitores externos (por ejemplo, Event Hubs o Log Analytics) como destino, el sistema crea un recurso adicional de configuración de diagnóstico llamado SQLSecurityAuditEvents_XXXX-XXXX-XXX. Este recurso es fundamental para el correcto funcionamiento de la auditoría.

Si eliminas la configuración de diagnóstico, ya sea intencionadamente o sin querer, la funcionalidad de auditoría deja de funcionar y los registros de auditoría no se envían a la ubicación de destino. Para evitar este problema, configura alertas para la eliminación de configuraciones de diagnóstico para notificar a los usuarios y tomar las medidas necesarias. Para más información sobre la creación de grupos de acción y la configuración de alertas, consulte Grupos de acción y Crear o editar una regla de alerta del registro de actividad, del estado del servicio o del estado de los recursos.

Note

Si usas varios objetivos como una cuenta de almacenamiento, Log Analytics o Event Hubs, asegúrate de tener permisos para todos los objetivos. De lo contrario, guardar la configuración de auditoría falla porque el sistema intenta guardar la configuración de todos los destinos.

Contenido relacionado

  • Se actualizó por última vez el