Audit dengan menggunakan identitas terkelola di Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse adalah gudang relasional skala perusahaan pada fondasi data lake, dengan arsitektur siap masa depan, AI bawaan, dan fitur baru. Jika Anda baru menggunakan pergudangan data, mulailah dengan Fabric Data Warehouse. Beban kerja kumpulan SQL terdedikasi yang ada dapat ditingkatkan ke Fabric untuk mengakses kemampuan baru di seluruh ilmu data, analitik waktu nyata, dan pelaporan.

• Mulai uji coba gratis Fabric.
• Asisten Migrasi untuk Fabric Data Warehouse.

Konfigurasikan audit untuk menggunakan akun Storage dengan dua metode autentikasi:

• Identitas yang Dikelola
• Kunci Akses Penyimpanan

Identitas Terkelola dapat menjadi identitas terkelola yang ditetapkan sistem (SMI) atau identitas terkelola yang ditetapkan pengguna (UMI).

Untuk mengonfigurasi penulisan log audit ke akun penyimpanan, buka portal Azure, dan pilih server Anda. Pilih Penyimpanan di menu Auditing. Pilih akun penyimpanan Azure tempat log disimpan.

Secara default, identitas yang digunakan adalah identitas pengguna utama yang ditetapkan ke server. Jika tidak ada identitas pengguna, server membuat identitas terkelola yang ditetapkan sistem dan menggunakannya untuk autentikasi.

Pilih periode retensi dengan membuka Properti lanjutan. Kemudian pilih Simpan. Log yang lebih lama dari periode retensi akan dihapus.

Note

Untuk menyiapkan audit berbasis identitas terkelola di Azure Synapse Analytics, lihat bagian Mengonfigurasi identitas terkelola yang ditetapkan sistem untuk audit Azure Synapse Analytics nanti di artikel ini.

Identitas terkelola yang ditetapkan pengguna

UMI memberi Anda fleksibilitas untuk membuat dan memelihara UMI Anda sendiri untuk tenant tertentu. Anda mengelola UMI, berbeda dengan identitas terkelola yang ditetapkan sistem, yaitu identitas yang didefinisikan secara unik untuk tiap server dan ditetapkan oleh sistem.

Konfigurasikan identitas terkelola yang ditetapkan pengguna untuk audit

Sebelum Anda dapat mengatur audit untuk mengirim log ke akun penyimpanan Anda, identitas terkelola yang diberikan ke server memerlukan penugasan peran Storage Blob Data Contributor . Penugasan ini diperlukan jika Anda mengonfigurasi audit menggunakan PowerShell, Azure CLI, REST API, atau template ARM. Portal Azure secara otomatis menetapkan peran saat Anda mengonfigurasi audit melalui portal, jadi Anda tidak perlu mengikuti langkah-langkah ini jika menggunakan portal.

1. Buka portal Azure.
2. Buat managed identity yang ditetapkan pengguna jika Anda belum memilikinya. Untuk informasi lebih lanjut, lihat membuat identitas yang ditetapkan pengguna.
3. Buka akun penyimpanan yang ingin Anda konfigurasi untuk audit.
4. Pilih menu Access Control (IAM).
5. Pilih Tambahkan>Tambahkan penugasan peran.
6. Di tab Peran , cari dan pilih Storage Blob Data Contributor. Pilih Selanjutnya.
7. Di tab Anggota, pilih Identitas terkelola di bagian Tetapkan akses ke, lalu Pilih anggota. Anda dapat memilih Managed identity yang Anda buat untuk server Anda.
8. Pilih Tinjau + beri tugas.

Untuk informasi selengkapnya, lihat Menetapkan peran Azure menggunakan portal.

Gunakan instruksi berikut untuk mengonfigurasi pengauditan menggunakan identitas terkelola yang ditetapkan pengguna.

Portal

1. Buka/masuk ke menu Identitas untuk server Anda. Di bawah bagian Identitas terkelola yang ditetapkan pengguna, Tambahkan identitas terkelola.
2. Pilih identitas terkelola yang ditambahkan sebagai identitas Utama untuk server Anda.
3. Buka menu Auditing untuk server. Pilih Identitas Terkelola sebagai Tipe Autentikasi Penyimpanan saat mengonfigurasi Penyimpanan untuk server Anda.

Azure CLI

Untuk menggunakan managed identity, berikan parameter --storage-key tersebut sebagai string kosong untuk menggunakan identitas managed utama yang diberikan ke server saat mengonfigurasi audit. Berikut adalah contoh perintah:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Untuk informasi selengkapnya, lihat az sql server audit-policy.

PowerShell

Untuk menggunakan identitas terkelola, atur parameter UseIdentity menjadi True untuk menggunakan identitas terkelola utama yang ditetapkan ke server. Berikut adalah contoh perintah:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

Untuk informasi selengkapnya, lihat Set-AzSqlServerAudit.

REST API

Untuk menggunakan identitas terkelola utama, lewati pengiriman parameter storageAccountAccessKey dalam permintaan:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Untuk informasi selengkapnya, lihat Pengaturan Audit Server - Buat atau Perbarui.

Note

Saat Anda mengonfigurasi audit menggunakan identitas terkelola, menyalin database ke server baru atau membuat geo-replika dapat merusak pencatatan audit. Kondisi ini terjadi karena server baru memiliki identitas terkelola yang berbeda, yang mungkin tidak memiliki akses ke akun penyimpanan audit. Pastikan identitas server baru memiliki izin yang sesuai untuk menjaga kontinuitas audit.

Mengonfigurasi identitas terkelola yang ditetapkan sistem untuk audit Azure Synapse Analytics

Anda tidak bisa menggunakan autentikasi berbasis UMI untuk akun penyimpanan untuk audit. Hanya identitas terkelola yang ditetapkan sistem (SMI) yang dapat digunakan untuk Azure Synapse Analytics. Agar autentikasi SMI berfungsi, identitas terkelola harus diberi peran Storage Blob Data Contributor dalam pengaturan Access Control akun penyimpanan. Peran ini secara otomatis ditambahkan jika Anda menggunakan portal Azure untuk mengonfigurasi audit.

Di portal Azure untuk Azure Synapse Analytics, tidak ada opsi untuk secara eksplisit memilih SAS key atau otentikasi SMI.

• Jika akun penyimpanan berada di belakang VNet atau firewall, sistem secara otomatis mengonfigurasi audit menggunakan otentikasi SMI.

• Jika akun penyimpanan tidak berada di balik VNet atau firewall, sistem secara otomatis mengonfigurasi audit menggunakan autentikasi berbasis kunci SAS. Namun, Anda tidak dapat menggunakan managed identity jika akun penyimpanan tidak berada di balik VNet atau firewall.

Untuk memaksa penggunaan autentikasi SMI, terlepas dari apakah akun penyimpanan berada di belakang VNet atau firewall, gunakan REST API atau PowerShell, sebagai berikut:

• Jika Anda menggunakan REST API, secara eksplisit hilangkan kolom StorageAccountAccessKey di badan permintaan.

  Untuk informasi selengkapnya, lihat:

  • Kebijakan Audit Blob Server - Buat atau Perbarui - REST API (Azure SQL Database)
  • Kebijakan Audit Blob Database - Buat atau Perbarui - REST API (Azure SQL Database)

• Jika Anda menggunakan PowerShell, teruskan parameter UseIdentity sebagai true.

  Untuk informasi selengkapnya, lihat:

  • Set-AzSqlServerAudit (Az.Sql)
  • Set-AzSqlDatabaseAudit (Az.Sql)

Konten terkait

• Auditing di Azure Synapse Analytics
• Tulis log audit ke akun penyimpanan di belakang jaringan virtual dan firewall
• Siapkan auditing untuk Azure Synapse Analytics