Azure Synapse Analytics audit log format

Tip

Microsoft Fabric Data Warehouse egy nagyvállalati szintű relációs raktár egy Data Lake-alaprendszeren, jövőre kész architektúrával, beépített AI-vel és új funkciókkal. Ha még nem ismerkedik az adattárházakkal, kezdje a Fabric Data Warehouse-szal. A meglévő dedikált SQL-készlet számítási feladatai frissíthetők Fabric az adatelemzés, a valós idejű elemzés és a jelentéskészítés új képességeinek eléréséhez.

Azure Synapse Analytics audit nyomon követi az adatbázis eseményeit, és azokat Azure Storage-re írja, vagy továbbítja őket Azure Event Hubs vagy Azure Monitor Log Analytics-nek az alsóbb feldolgozásra és elemzésre.

Elnevezési konvenciók

Blob audit

Az Azure Blob Storage-ben tárolt audit logs egy konténerben tárolják, amelynek neve sqldbauditlogs. A konténeren belüli könyvtárhierarchia .<ServerName>/<DatabaseName>/<AuditName>/<Date>/ A blob fájlnév formátuma <CreationTime>_<FileNumberInSession>.xel, ahol CreationTime az UTC hh_mm_ss_ms formátumot használja, és FileNumberInSession futó index, amikor egy szekció több blob fájlt is lefed.

Például a következő útvonal érvényes az adatbázis Database1Server1szerveren :

Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel

Event Hubs

Az audit eseményeket a névtérbe és az eseményközpontba írják, amely az auditálásra konfigurált. Az eseményeket az Apache Avro események testében rögzítik, és JSON formátumot használnak UTF-8 kódolással.

Log Analytics

Az audit eseményeket a konfigurált Log Analytics munkaterületen írják a AzureDiagnostics táblára. Az adatbázis-audit események a SQLSecurityAuditEvents kategóriát használják, a Microsoft támogató műveletei pedig a DevOpsOperationsAudit kategóriát. Lekérdezési útmutatásért lásd: Log Analytics lekérdezések.

Audit log mezők

Név (folt) Név (Event Hubs/Log Analytics) Description Blob típusa Event Hubs/Log Analytics type
action_id action_id_s A művelet azonosítója varchar(4) string
action_name action_name_s A harc neve N/A string
additional_information additional_information_s Az eseményről további információk XML-ben tárolva nvarchar(4000) string
affected_rows affected_rows_d A lekérdezés által érintett sorok száma bigint int
application_name application_name_s Az ügyfélalkalmazás neve nvarchar(128) string
audit_schema_version audit_schema_version_d Mindig 1 int int
class_type class_type_s Az auditálható egység típusa, amelyen az audit zajlik varchar(2) string
class_type_desc class_type_description_s Az auditálható egység leírása, amelyen az audit történik N/A string
client_ip client_ip_s Az ügyfélalkalmazás forrás IP-címe nvarchar(128) string
connection_id N/A A kiszolgáló kapcsolatának azonosítója GUID N/A
data_sensitivity_information data_sensitivity_information_s A naplózott lekérdezés által visszaadott információtípusok és bizalmassági címkék az adatbázis besorolt oszlopai alapján. További információ üçin lásd: Azure Synapse Analytics security: Threat protection nvarchar(4000) string
database_name database_name_s Az adatbázis kontextusa, amelyben az akció történt sysname string
database_principal_id database_principal_id_d Az adatbázis-felhasználói kontextusnak az azonosítója, amelyben a művelet történik int int
database_principal_name database_principal_name_s Az adatbázis-felhasználói kontextus neve, amelyben a műveletet végrehajtják. sysname string
duration_milliseconds duration_milliseconds_d Lekérdezés végrehajtásának időtartama ezredmásodpercben bigint int
event_time event_time_t A vizsgálható akció elindításának dátuma és időpontja datetime2 datetime
host_name N/A Kliens hódnév string N/A
is_column_permission is_column_permission_s Jelző, amely jelzi, hogy ez oszlopszintű engedély-e. 1 = igaz, 0 = hamis bit string
N/A is_server_level_audit_s Jelzés, amely jelzi, hogy ez az audit szerver szinten van-e N/A string
object_ id object_id_d Annak az entitásnak az azonosítója, amelyen a naplózás történt. Ez magában foglalja a : szerverobjektumokat, adatbázisokat, adatbázis-objektumokat és sémaobjektumokat. 0, ha az entitás maga a szerver, vagy ha az audit nem tárgy szinten történik int int
object_name object_name_s Annak az entitásnak a neve, amelyen a naplózás történt. Ez magában foglalja a : szerverobjektumokat, adatbázisokat, adatbázis-objektumokat és sémaobjektumokat. 0, ha az entitás maga a szerver, vagy ha az audit nem tárgy szinten történik sysname string
obo_middle_tier_app_id obo_middle_tier_app_id_s A középső szintű alkalmazás alkalmazásazonosítója, amely OBO hozzáféréssel csatlakozott az Azure Synapse Analytics-hez. varchar(120) string
permission_bitmask permission_bitmask_s Ha alkalmazható, megmutatja azokat az engedélyeket, amelyeket megtagadtak, vagy visszavontak varbinary(16) string
response_rows response_rows_d Az eredményhalmazban visszatért sorok száma bigint int
schema_name schema_name_s A sémakörnyezet, amelyben a művelet történt. NULL a sémán kívül zajló auditokra sysname string
N/A securable_class_type_s Biztosítható objektum, amely a class_type vizsgált tárgyhoz hasonlít N/A string
sequence_group_id sequence_group_id_g Egyedi azonosító varbinary GUID
sequence_number sequence_number_d Nyomon követi egy olyan naplórekord rekordjainak sorrendjét, amelyek túl nagyok ahhoz, hogy elférjenek az auditok írási pufferében. Azure Synapse Analytics auditing tárol 4000 karakter adatot karaktermezőkhöz egy audit record-ban. Ha több mint 4000 karakter van, az első 4000 karakteren túli adatok lerövidülnek int int
server_instance_name server_instance_name_s A szerver példányának neve, ahol az audit történt sysname string
server_principal_id server_principal_id_d A bejelentkezési kontextusnak az azonosítója, amelyben a művelet történik int int
server_principal_name server_principal_name_s Jelenlegi bejelentkezés sysname string
server_principal_sid server_principal_sid_s Jelenlegi bejelentkezési SID varbinary string
session_id session_id_d Az esemény eseményének azonosítója smallint int
session_server_principal_name session_server_principal_name_s Server principal for session sysname string
statement statement_s T-SQL utasítás, amelyet végrehajtottak (ha egyáltalán van) nvarchar(4000) string
succeeded succeeded_s Azt jelzi, hogy az eseményt kiváltó művelet sikeres volt-e. Bejelentkezésen és batchen kívüli eseményeknél ez csak azt jelenti, hogy a jogosultságellenőrzés sikeres volt-e vagy nem sikerült, nem pedig a műveletet. 1 = siker, 0 = kudarc bit string
target_database_principal_id target_database_principal_id_d Az adatbázis alapalap, amelyen a GRANT//DENYREVOKE művelet történik. 0, ha nem alkalmazható int int
target_database_principal_name target_database_principal_name_s A művelet célfelhasználója. NULL ha nem alkalmazható string string
target_server_principal_id target_server_principal_id_d Kiszolgálónév, amelyen a GRANT/DENY/REVOKE műveletet végrehajtják. Visszajelzés 0, ha nem alkalmazható int int
target_server_principal_name target_server_principal_name_s A művelet célba történő bejelentkezése. NULL ha nem alkalmazható sysname string
target_server_principal_sid target_server_principal_sid_s A célzott bejelentkezés biztonsági azonosítója. NULL ha nem alkalmazható varbinary string
transaction_id transaction_id_d Not populated for Azure Synapse Analytics bigint int
user_defined_event_id user_defined_event_id_d A felhasználó által megadott eseményazonosító argumentumként lett átadva a következőnek sp_audit_write: . NULL a rendszeresemények (alapértelmezett) és a felhasználó által definiált események esetében nem nulla. További információért lásd sp_audit_write (Transact-SQL) smallint int
user_defined_information user_defined_information_s A felhasználó által definiált információ argumentumként továbbított .sp_audit_write NULL a rendszereseményekhez (alapértelmezett), és nem nulla a felhasználó által definiált eseményre. További információért lásd sp_audit_write (Transact-SQL) nvarchar(4000) string

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: