Scrivi log di audit su un account di storage dietro una rete virtuale e un firewall in Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse è un data warehouse relazionale su scala aziendale su una base data lake, con un'architettura futura, un'intelligenza artificiale predefinita e nuove funzionalità. Se non si ha familiarità con il data warehousing, iniziare con Fabric Data Warehouse. I carichi di lavoro esistenti del pool SQL dedicated possono eseguire l'aggiornamento a Fabric per accedere a nuove funzionalità tra data science, analisi in tempo reale e creazione di report.

Il controllo di Azure Synapse Analytics supporta la scrittura di eventi del database in un account di archiviazione di Azure dietro una rete virtuale o un firewall.

Important

Quando un account di archiviazione è protetto da una rete virtuale o da un firewall, è necessario utilizzare l'autenticazione tramite identità gestita (ruolo di Collaboratore ai dati dei BLOB di Archiviazione), invece delle chiavi di accesso alle risorse di archiviazione. Il portale Azure configura automaticamente questa autenticazione quando salvi le impostazioni di auditing. Se configuri l'audit usando l'API REST o PowerShell, non specificare un storageAccountAccessKey. L'identità gestita del server si autentica invece sull'account di storage.

Sfondo

Rete virtuale di Azure (VNet) è il blocco predefinito fondamentale per la rete privata in Azure. VNet consente a diversi tipi di risorse di Azure, ad esempio Macchine virtuali di Azure, di comunicare in modo sicuro tra di esse, con Internet e con le reti locali. VNet è simile a una rete tradizionale nel proprio data center, ma porta benefici aggiuntivi all'infrastruttura Azure come scalabilità, disponibilità e isolamento.

Per saperne di più sui concetti di VNet, sulle best practice e altro ancora, consulta Cos'è Rete virtuale di Azure.

Per maggiori informazioni su come creare una rete virtuale, vedere Avvio rapido: creare una rete virtuale usando il portale di Azure.

Prerequisites

  • Usa un account di archiviazione per utilizzo generico v2 o un account premium BlockBlobStorage. Per aggiornare un account più vecchio, vedi Aggiorna a un account di archiviazione v2 a uso generale.
  • È supportata la memoria premium con BlockBlobStorage.
  • Posiziona l'account di storage nello stesso tenant e regione del server SQL di Synapse.
  • Nella pagina di rete degli account di storage, abilita Consenti ai servizi Azure nella lista dei servizi affidabili per accedere a questo account di storage.
  • Concedere all'identità gestita assegnata dal sistema del server il ruolo di Collaboratore ai dati del BLOB di archiviazione nell'account di archiviazione. È necessaria l'autorizzazione Microsoft.Authorization/roleAssignments/write per creare l'assegnazione di ruolo.

Se hai attivato l'audit prima che l'account di archiviazione fosse dietro un firewall, salva di nuovo le impostazioni di audit così che i log di audit possano riprendere la scrittura sull'account.

Configurare il controllo nel portale di Azure

  1. Nel portale Azure, apri il server SQL Synapse o la risorsa del pool SQL.

  2. In Sicurezza, seleziona Audit e poi abilita l'audit.

  3. Seleziona Storage e scegli l'account di archiviazione che soddisfa i prerequisiti.

  4. Apri i dettagli dello Storage e verifica che il portale indichi che l'autenticazione dell'identità gestita è stata utilizzata.

    Note

    Se l'account di archiviazione selezionato si trova dietro una rete virtuale, si vede il seguente messaggio:

    You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

    Se non vedi questo messaggio, l'account di archiviazione non è dietro una rete virtuale.

  5. Seleziona un periodo di conservazione e poi salva le impostazioni di audit.

Quando salvi le impostazioni, il portale concede all'identità assegnata dal sistema il ruolo di archiviazione richiesto se hai il permesso di creare assegnazioni di ruolo.

Configurare l'audit tramite codice

Quando configuri l'audit tramite PowerShell o l'API REST, non fornire una chiave di accesso all'account storage. Omettere la chiave fa sì che la policy di audit utilizzi l'identità gestita assegnata al server dal sistema.

Per dettagli sul comportamento dell'identità, vedi Auditing using managed identity in Azure Synapse Analytics.

Contenuti correlati

  • Ultimo aggiornamento: