Naplózás felügyelt identitás használatával az Azure Synapse Analyticsben

Tip

Microsoft Fabric Data Warehouse egy nagyvállalati szintű relációs raktár egy Data Lake-alaprendszeren, jövőre kész architektúrával, beépített AI-vel és új funkciókkal. Ha még nem ismerkedik az adattárházakkal, kezdje a Fabric Data Warehouse-szal. A meglévő dedikált SQL-készlet számítási feladatai frissíthetők Fabric az adatelemzés, a valós idejű elemzés és a jelentéskészítés új képességeinek eléréséhez.

• A Fabric ingyenes próbaverzió indítása.
• Fabric Adattárház Migrációs Segédje.

Konfiguráld az auditálást úgy, hogy egy Storage fiókot használjon két hitelesítési módszerrel:

• Felügyelt identitás
• Tárelérési kulcsok

felügyelt identitás lehet rendszer által hozzárendelt felügyelt identitás (SMI) vagy felhasználó által hozzárendelt felügyelt identitás (UMI).

Az auditnaplók tárolási fiókba való írásának konfigurálásához menj az Azure portálra, és válaszd ki a szerveredet. Az Ellenőrzés menüben válassza a Storage lehetőséget. Válaszd ki az Azure tárolófiókot, ahol a naplók elmentődnek.

Alapértelmezés szerint a használt identitás a kiszolgálóhoz rendelt elsődleges felhasználói identitás. Ha nincs felhasználói identitás, a kiszolgáló létrehoz egy rendszer által hozzárendelt felügyelt identitást, és hitelesítésre használja.

Válassza ki a megőrzési időtartamot a Speciális tulajdonságokmegnyitásával. Ezután válassza a Mentéslehetőséget. A megőrzési időnél régebbi naplók törlődnek.

Megjegyzés

Ha felügyelt identitásalapú naplózást szeretne beállítani az Azure Synapse Analyticsben, tekintse meg a jelen cikk későbbi, Rendszer által hozzárendelt felügyelt identitás konfigurálása az Azure Synapse Analytics naplózásához című szakaszt.

Felhasználó által hozzárendelt felügyelt identitás

Az UMI rugalmasságot biztosít ahhoz, hogy saját UMI-t hozz létre és tarts fenn egy adott bérlő számára. Az UMI-t Ön kezeli, szemben a rendszer által hozzárendelt felügyelt identitással, amely szerverenként egyedileg van meghatározva, és amelyet a rendszer rendel hozzá.

Felhasználó által hozzárendelt menedzselt identitás konfigurálása auditáláshoz

Mielőtt beállíthatnád az auditálást, hogy naplókat küldjünk a tárolófiókjába, a szerverhez rendelt menedzselt identitásnak szüksége van a Storage Blob Data Contributor szerep kiosztására. Ez a hozzárendelés szükséges, ha PowerShell, Azure CLI, REST API vagy ARM sablonok segítségével konfigurálod az auditálást. Az Azure portál automatikusan hozzárendeli a szerepet, amikor a portálon keresztül konfigurálod az auditálást, így nem kell ezeket a lépéseket követned, ha a portált használod.

1. Lépjen ide: Azure Portal.
2. Hozz létre egy felhasználó által hozzárendelt felügyelt identitást, ha még nincs ilyened. További információért lásd: felhasználó által hozzárendelt identitás létrehozása.
3. Nyissa meg a naplózáshoz konfigurálni kívánt tárfiókot.
4. Válassza a Hozzáférés-vezérlés (IAM) menüt.
5. Válassza a Hozzáadás>Szerepkör-hozzárendelés hozzáadása lehetőséget.
6. A Role fülön keresse meg, és válassza ki a Storage Blob Data Contributor elemet. Válassza a Tovább gombot.
7. A Tagok lapon válassza a Felügyelt identitás lehetőséget a Hozzáférés hozzárendelése szakaszban, majd jelölje ki a Tagokat. Kiválaszthatod a szervered számára létrehozott Managed identitást.
8. Válassza a Véleményezés + hozzárendelés lehetőséget.

További információ: Azure-szerepkörök hozzárendelése a Portálhasználatával.

Az alábbi utasításokat használja az auditálás konfigurálásához egy felhasználó által kijelölt menedzselt identitás használatával.

Portal

1. Nyissa meg a kiszolgáló Identitás menüjét. A Felhasználó által hozzárendelt felügyelt identitás szakaszban adja hozzá a felügyelt identitást.
2. Válaszd ki a hozzáadott menedzselt identitást elsődleges identitásként a szerveredhez.
3. Lépjen be a szerver auditálás menüjébe. Válassza a Kezelt identitás lehetőséget a Tárolóhitelesítési típus- konfigurációjakor, amikor a szerverhez a Tárolást konfigurálja.

Az Azure CLI

A menedzselt identitás használatához a(z) --storage-key paramétert üres karakterláncként adjuk át, hogy a szerverhez rendelt elsődleges menedzselt identitást használjuk az auditálás konfigurálásakor. Íme egy példa a parancsra:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

További információ: az SQL Server audit-policy.

PowerShell

A menedzselt identitás használatához adja át a UseIdentity paramétert True értékként, hogy a szerverhez rendelt elsődleges menedzselt identitást használja. Íme egy példa a parancsra:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

A további információkért nézze meg a Set-AzSqlServerAudit.

REST API

Az elsődleges menedzselt identitás használatához hagyja ki a(z) storageAccountAccessKey paraméter továbbítását a kérésben:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

További információ: kiszolgálónaplózási beállítások –létrehozása vagy frissítése.

Megjegyzés

Ha az auditálást menedzselt identitással konfigurálod, az adatbázis másolása egy új szerverre vagy geo-replika létrehozása megszakíthatja az audit naplózást. Ez az állapot azért alakul ki, mert az új szervernek más menedzselt identitása van, amely nem feltétlenül fér hozzá az audit tárolófiókhoz. Biztosítsuk, hogy az új szerver identitása megfelelő jogosultságokkal rendelkezik az audit folytonosságának fenntartásához.

Rendszer által hozzárendelt felügyelt identitás konfigurálása az Azure Synapse Analytics naplózásához

Nem használhatsz UMI-alapú hitelesítést tárolófiók auditálásához. Csak a rendszer által hozzárendelt felügyelt identitás (SMI) használható az Azure Synapse Analyticshez. Ahhoz, hogy az SMI-hitelesítés működjön, a menedzselt identitáshoz hozzá kell rendelni a Storage Blob Data Contributor szerepet a tárolófiók Access Control beállításaiban. Ez a szerep automatikusan hozzáadódik, ha az Azure portált használod az auditálás konfigurálásához.

Az Azure portálban az Azure Synapse Analytics-hez nincs opció kifejezett SAS kulcs vagy SMI hitelesítés kiválasztására.

• Ha a tárolófiók egy VNet vagy tűzfal mögött van, a rendszer automatikusan konfigurálja az auditálást MSI-hitelesítéssel.

• Ha a tárolófiók nem egy VNet vagy tűzfal mögött van, a rendszer automatikusan konfigurálja az auditálást SAS kulcsalapú hitelesítéssel. Viszont nem használhatod a menedzselt identitást, ha a tárolófiók nincs VNet vagy tűzfal mögé helyezve.

Az SMI-hitelesítés használatának kényszerítéséhez , függetlenül attól, hogy a tárfiók virtuális hálózat vagy tűzfal mögött található-e, használja a REST API-t vagy a PowerShellt az alábbiak szerint:

• Ha a REST API-t használod, a kérés törzsében kifejezetten ne add meg a StorageAccountAccessKey mezőt.

  További információkért lásd:

  • kiszolgálói blobnaplózási szabályzatok – Létrehozás vagy frissítés – REST API (Azure SQL Database)
  • Database Blob Auditing Policies - Create Or Update - REST API (Azure SQL Database)

• Ha PowerShellt használsz, add meg a UseIdentity paramétert true értékként.

  További információkért lásd:

  • Set-AzSqlServerAudit (Az.Sql)
  • Set-AzSqlDatabaseAudit (Az.Sql)

Kapcsolódó tartalom

• Naplózás az Azure Synapse Analyticsben
• Írj audit naplókat egy virtuális hálózat és tűzfal mögötti tárolófiókba
• Az Azure Synapse Analytics naplózásának beállítása