Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
A következőkre vonatkozik:
Azure SQL DatabaseAzure Synapse Analytics
Ebben a cikkben áttekintjük, hogyan állítsuk be az Azure SQL Database és az Azure Synapse Analytics logikai kiszolgálójának vagy adatbázisának ellenőrzését.
A kiszolgáló naplózásának konfigurálása
Az alapértelmezett naplózási szabályzat a következő műveletcsoportokat tartalmazza, amelyek az adatbázison végrehajtott összes lekérdezést és tárolt eljárást, valamint a sikeres és sikertelen bejelentkezéseket naplózják:
- CSOPORTOS_FOLYAMAT_LEZÁRVA
- SIKERES_ADATBÁZIS_HITELÉSTÉS_CSOPORT
- SIKERTELEN_ADATBÁZIS_HITELSÍTÉS_CSOPORT
Ha a PowerShell használatával szeretné konfigurálni a különböző típusú műveletek és műveletcsoportok naplózását, tekintse meg Az Azure SQL Database naplózásának kezelése API-kkal.
Az alábbi szakasz az Azure Portallal végzett naplózási konfigurációt ismerteti.
Jegyzet
Szüneteltetett dedikált SQL-készleten nem engedélyezheti a naplózás funkcióját. A naplózás engedélyezéséhez indítsa újra a dedikált SQL-készletet.
Amikor az auditálás konfigurálva van egy Log Analytics-munkaterületre vagy egy Event Hubs-célhelyre az Azure portálon vagy a PowerShell parancsmag használatával, létrejön egy diagnosztikai beállítás, amelyben a SQLSecurityAuditEvents kategória engedélyezve van.
Lépjen a Azure Portal.
Lépjen az Biztonság fejléce alatt található Auditálás részhez az SQL-adatbázis vagy az SQL-szerver panelen.
Ha inkább kiszolgálónaplózási házirendet szeretne beállítani, válassza a Kiszolgálóbeállítások megtekintése hivatkozást az adatbázis naplózási oldalán. Ezután megtekintheti vagy módosíthatja a kiszolgáló naplózási beállításait. A kiszolgálónaplózási szabályzatok a kiszolgálón lévő összes meglévő és újonnan létrehozott adatbázisra érvényesek.
Ha inkább az adatbázis szintjén szeretné engedélyezni a naplózást, váltson AuditingONértékre. Ha a kiszolgálónaplózás engedélyezve van, az adatbázis által konfigurált naplózás a kiszolgálói naplózás mellett létezik.
A naplózási naplók tárolási helye több beállítással is konfigurálható. Naplókat írhat egy Azure Storage-fiókba, egy Log Analytics-munkaterületre az Azure Monitor-naplók általi felhasználás céljából, vagy az event hub használatával történő felhasználás céljából. A beállítások bármilyen kombinációját konfigurálhatja, és a naplók mindegyikhez el lesznek mentve.
Ellenőrzés a tárolási célhelyre
Ha naplókat szeretne írni egy tárfiókba, válassza a Storage lehetőséget, amikor a naplózási szakaszhoz ér. Válassza ki azt az Azure Storage-fiókot, ahová menteni szeretné a naplókat. A következő két tárolóhitelesítési típust használhatja: felügyelt identitás és tárelérési kulcsokat. A felügyelt identitások esetében a rendszer által hozzárendelt és a felhasználó által hozzárendelt felügyelt identitás támogatott. Alapértelmezés szerint a kiszolgálóhoz rendelt elsődleges felhasználói identitás van kiválasztva. Ha nincs felhasználói identitás, akkor a rendszer létrehoz egy rendszer által hozzárendelt felügyelt identitást, amelyet hitelesítési célokra használ. Miután kiválasztotta a hitelesítési típust, válasszon egy megőrzési időtartamot a Speciális tulajdonságok megnyitásával, majd a Mentéslehetőség kiválasztásával. A megőrzési időnél régebbi naplók törlődnek.
Ha az Azure Portalról telepíti az üzembe helyezést, győződjön meg arról, hogy a tárfiók ugyanabban a régióban található, mint az adatbázis és a kiszolgáló. Ha más módszerekkel telepít, a storage fiók bármely régióban lehet.
Figyelmeztetés
A tárhitelesítéshez használja a felügyelt identitást. A tárelérési kulcsok biztonsági kockázatot jelentenek, mert ha illetéktelen személyek hozzáférhetnek a tárfiókhoz, esetleg olvashatják, írhatják vagy törölhetik az adatokat. Ezeknek a kockázatoknak a mérséklése érdekében elengedhetetlen a kulcsok rendszeres elforgatása, valamint az Azure Key Vault használata a kulcsok biztonságos kezeléséhez és elforgatásához.
- A megőrzési időszak alapértelmezett értéke 0 (korlátlan megőrzés). Ezt az értéket úgy módosíthatja, hogy a Megőrzési idő (napok) csúszkát áthelyezi a Speciális beállítások között, amikor a tárfiókot naplózásra konfigurálja.
- Ha a megőrzési időtartamot 0-ról (korlátlan megőrzés) bármely más értékre módosítja, a megőrzés csak a megőrzési érték módosítása után írt naplókra lesz érvényes. A megőrzési napok korlátlan megőrzésre való beállítása során írt naplók megmaradnak, még a megőrzés engedélyezése után is.
Ellenőrzés a Log Analytics céljához
Naplók Log Analytics-munkaterületre való írásának konfigurálásához válassza Log Analytics- lehetőséget, és nyissa meg Log Analytics-részleteket. Válassza ki azt a Log Analytics-munkaterületet, ahol a naplókat tárolni szeretné, majd válassza OKlehetőséget. Ha még nem hozott létre Log Analytics-munkaterületet, olvassa el Log Analytics-munkaterület létrehozása az Azure Portalon.
Ellenőrzés az Event Hubs célhelyére
Az auditnaplók eseményközpontba való írásának konfigurálásához válassza Event Hublehetőséget. Válassza ki azt az eseményközpontot, ahol a naplókat tárolni szeretné, majd válassza a Mentéslehetőséget. Győződjön meg arról, hogy az eseményközpont ugyanabban a régióban található, mint az adatbázis és a kiszolgáló.
Ha a naplózás azure-beli külső monitorokkal (például Event Hubs vagy Log Analytics) van konfigurálva célként, létrejön egy SQLSecurityAuditEvents_XXXX-XXXX-XXX nevű további diagnosztikai beállítási erőforrás, amely kritikus fontosságú a naplózás megfelelő működéséhez.
Ha a diagnosztikai beállításokat szándékosan vagy véletlenül törlik, a naplózási funkció csendben meghiúsul, és a naplók nem lesznek elküldve a célhelyre. Ennek megakadályozása érdekében konfigurálja a diagnosztikai beállítások törlésére vonatkozó riasztásokat a felhasználók értesítésére és a szükséges műveletek elvégzésére. További információ a műveletcsoportok létrehozásáról és a riasztások konfigurálásáról: Műveletcsoportok , tevékenységnapló, szolgáltatásállapot vagy erőforrásállapot-riasztási szabály létrehozása vagy szerkesztése.
Jegyzet
Ha több célt használ, például a tárfiókot, a Log Analyticset vagy az Event Hubsot, győződjön meg arról, hogy rendelkezik az összes célhoz tartozó engedélyekkel, különben a naplózási konfiguráció mentése meghiúsul, mivel az az összes cél beállításait megpróbálja menteni.