Auditer en utilisant l’identité gérée dans Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse est un entrepôt relationnel à l’échelle de l’entreprise sur une base de lac de données, avec une architecture future, une IA intégrée et de nouvelles fonctionnalités. Si vous débutez avec l'entreposage de données, commencez par Fabric Data Warehouse. Les charges de travail de pool SQL existantes dédicées peuvent être mises à niveau vers Fabric pour accéder à de nouvelles fonctionnalités dans la science des données, l’analytique en temps réel et la création de rapports.

Configurez l’audit pour utiliser un compte de stockage avec deux méthodes d’authentification :

  • Identité gérée
  • Clés d’accès au stockage

L’identité managée peut être une identité managée affectée par le système (SMI) ou une identité managée affectée par l’utilisateur (UMI).

Pour configurer l’écriture des journaux d’audit sur un compte de stockage, allez sur le portail Azure et sélectionnez votre serveur. Sélectionnez Stockage dans le menu Audit. Sélectionnez le compte de stockage Azure où les journaux sont enregistrés.

Par défaut, l’identité utilisée est l’identité d’utilisateur principal attribuée au serveur. S’il n’existe pas d’identité d’utilisateur, le serveur crée une identité managée affectée par le système et l’utilise pour l’authentification.

Sélectionnez la période de rétention en ouvrant Propriétés avancées. Ensuite, sélectionnez Enregistrer. Les journaux plus vieux que la période de conservation sont supprimés.

Note

Pour configurer l’audit basé sur une identité managée sur Azure Synapse Analytics, consultez la section Configurer une identité managée affectée par le système pour l’audit Azure Synapse Analytics plus loin dans cet article.

Identité gérée attribuée par l’utilisateur

UMI vous donne la flexibilité de créer et de maintenir votre propre UMI pour un tenant donné. Vous gérez l’UMI, contrairement à une identité managée affectée par le système, qui est définie de manière unique pour chaque serveur et affectée par le système.

Configurer une identité managée affectée par l’utilisateur pour l’audit

Avant de pouvoir configurer un audit pour envoyer des journaux à votre compte de stockage, l’identité managée attribuée au serveur doit disposer de l’attribution du rôle Contributeur aux données Blob du stockage. Cette affectation est nécessaire si vous configurez l’audit en utilisant PowerShell, Azure CLI, l’API REST ou des modèles ARM. Le portail Azure attribue automatiquement le rôle lorsque vous configurez l'audit via le portail, donc vous n'avez pas besoin de suivre ces étapes si vous utilisez le portail.

  1. Accédez au Portail Azure.
  2. Créez une identité gérée attribuée par l’utilisateur si vous n’en avez pas déjà une. Pour plus d’informations, voir créer une identité attribuée par l’utilisateur.
  3. Accédez au compte de stockage que vous souhaitez configurer pour l’audit.
  4. Sélectionnez le menu Contrôle d’accès (IAM).
  5. Sélectionnez Ajouter>Ajouter une attribution de rôle.
  6. Dans l’onglet Rôle , recherchez et sélectionnez Contributeur de données de blob de stockage. Sélectionnez Suivant.
  7. Sous l’onglet Membres, sélectionnez Identité managée dans la section Attribuer l’accès à, puis Sélectionner des membres. Vous pouvez sélectionner l’identité gérée que vous avez créée pour votre serveur.
  8. Sélectionnez Vérifier + attribuer.

Pour plus d’informations, consultez Attribuer des rôles Azure à l’aide du portail.

Utilisez les instructions suivantes pour configurer l’audit en utilisant une identité managée attribuée par l’utilisateur.

  1. Accédez au menu Identity pour votre serveur. Sous la section Identité managée affectée par l’utilisateur, ajoutez l’identité managée.
  2. Sélectionnez l’identité gérée ajoutée comme identité principale pour votre serveur.
  3. Accédez au menu Auditing du serveur. Sélectionnez Identité managée en tant que Type d’authentification du stockage au moment de configurer le Stockage pour votre serveur.

Note

Lorsque vous configurez l’audit en utilisant une identité gérée, copier la base de données sur un nouveau serveur ou créer un géoréplica peut casser la journalisation de l’audit. Cette condition survient parce que le nouveau serveur a une identité gérée différente, qui peut ne pas avoir accès au compte de stockage d’audit. Assurez-vous que l’identité du nouveau serveur dispose des autorisations appropriées pour maintenir la continuité de l’audit.

Configurer une identité managée affectée par le système pour l’audit Azure Synapse Analytics

Vous ne pouvez pas utiliser l’authentification basée sur UMI pour un compte de stockage à des fins d’audit. Seule une identité managée affectée par le système (SMI) peut être utilisée pour Azure Synapse Analytics. Pour que l'authentification SMI fonctionne, l'identité gérée doit se voir attribuer le rôle Storage Blob Data Contributor dans les paramètres de Access Control du compte de stockage. Ce rôle est automatiquement ajouté si vous utilisez le portail Azure pour configurer l’audit.

Dans le portail Azure pour Azure Synapse Analytics, il n'y a pas d'option pour choisir explicitement la clé SAS ou l'authentification SMI.

  • Si le compte de stockage est derrière un VNet ou un pare-feu, le système configure automatiquement l’audit en utilisant l’authentification SMI.

  • Si le compte de stockage n’est pas derrière un VNet ou un pare-feu, le système configure automatiquement l’audit en utilisant une authentification basée sur une clé SAS. Cependant, vous ne pouvez pas utiliser l’identité gérée si le compte de stockage n’est pas derrière un VNet ou un pare-feu.

Pour forcer l’utilisation d’une authentification SMI, que le compte de stockage se trouve ou pas derrière un réseau virtuel ou un pare-feu, utilisez l’API REST ou PowerShell, comme suit :

Contenu connexe

  • Dernière mise à jour :