Microsoft.Sql server/database/extendedAuditingSettings 2017-03-01-preview
Definizione di risorsa Bicep
Il tipo di risorsa server/database/extendedAuditingSettings può essere distribuito con operazioni destinate:
- Gruppi di risorse - Vedere i comandi di distribuzione del gruppo di risorse
Per un elenco delle proprietà modificate in ogni versione dell'API, vedere log delle modifiche.
Formato di risorsa
Per creare una risorsa Microsoft.Sql/servers/databases/extendedAuditingSettings, aggiungere il modello Bicep seguente.
resource symbolicname 'Microsoft.Sql/servers/databases/extendedAuditingSettings@2017-03-01-preview' = {
name: 'default'
parent: resourceSymbolicName
properties: {
auditActionsAndGroups: [
'string'
]
isAzureMonitorTargetEnabled: bool
isStorageSecondaryKeyInUse: bool
predicateExpression: 'string'
queueDelayMs: int
retentionDays: int
state: 'string'
storageAccountAccessKey: 'string'
storageAccountSubscriptionId: 'string'
storageEndpoint: 'string'
}
}
Valori delle proprietà
servers/databases/extendedAuditingSettings
Nome | Descrizione | valore |
---|---|---|
name | Nome della risorsa Vedere come impostare nomi e tipi per le risorse figlio in Bicep. |
'default' |
padre | In Bicep è possibile specificare la risorsa padre per una risorsa figlio. È necessario aggiungere questa proprietà solo quando la risorsa figlio viene dichiarata all'esterno della risorsa padre. Per altre informazioni, vedere Risorsa figlio esterna alla risorsa padre. |
Nome simbolico per la risorsa di tipo: database |
properties | Proprietà delle risorse. | ExtendedDatabaseBlobAuditingPolicyProperties |
ExtendedDatabaseBlobAuditingPolicyProperties
Nome | Descrizione | Valore |
---|---|---|
auditActionsAndGroups | Specifica la Actions-Groups e le azioni da controllare. Il set consigliato di gruppi di azioni da usare è la combinazione seguente: in questo modo verranno controllate tutte le query e le stored procedure eseguite nel database, nonché gli account di accesso riusciti e non riusciti: BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP. Questa combinazione precedente è anche il set configurato per impostazione predefinita quando si abilita il controllo dalla portale di Azure. I gruppi di azioni supportati da controllare sono (nota: scegliere solo gruppi specifici che coprono le esigenze di controllo. L'uso di gruppi non necessari potrebbe causare grandi quantità di record di controllo: APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP Questi sono gruppi che coprono tutte le istruzioni sql e le stored procedure eseguite nel database e non devono essere usati in combinazione con altri gruppi, in quanto ciò comporta i log di controllo duplicati. Per altre informazioni, vedere Gruppi di azioni di controllo a livello di database. Per i criteri di controllo del database, è anche possibile specificare azioni specifiche (si noti che non è possibile specificare Azioni per i criteri di controllo server). Le azioni supportate da controllare sono: SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES Il modulo generale per la definizione di un'azione da controllare è: {action} ON {object} BY {principal} Si noti che {object} nel formato precedente può fare riferimento a un oggetto come una tabella, una vista o una stored procedure o un intero database o uno schema. Per questi ultimi casi, vengono usati rispettivamente i moduli DATABASE::{db_name} e SCHEMA::{schema_name} . Ad esempio: SELECT in dbo.myTable per pubblico SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public Per altre informazioni, vedere Azioni di controllo a livello di database |
string[] |
isAzureMonitorTargetEnabled | Specifica se gli eventi di controllo vengono inviati a Monitoraggio di Azure. Per inviare gli eventi a Monitoraggio di Azure, specificare 'state' come 'Enabled' e 'isAzureMonitorTargetEnabled' come true. Quando si usa l'API REST per configurare il controllo, è necessario creare anche le impostazioni di diagnostica con 'SQLSecurityAuditEvents' nel database. Si noti che per il controllo a livello di server è consigliabile usare il database 'master' come {databaseName}. Formato URI impostazioni di diagnostica: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview Per altre informazioni, vedere API REST impostazioni di diagnostica o Impostazioni di diagnostica PowerShell |
bool |
isStorageSecondaryKeyInUse | Specifica se il valore storageAccountAccessKey è la chiave secondaria dell'archiviazione. | bool |
predicateExpression | Specifica la condizione della clausola where durante la creazione di un controllo. | string |
queueDelayMs | Indica la quantità di tempo in millisecondi che può trascorrere prima che venga forzata l'elaborazione delle azioni di controllo. Il valore minimo predefinito è 1000 (1 secondo), Il massimo è 2.147.483.647. |
INT |
retentionDays | Specifica il numero di giorni da mantenere nei log di controllo nell'account di archiviazione. | INT |
state | Specifica lo stato del criterio. Se lo stato è Abilitato, è necessario storageEndpoint o isAzureMonitorTargetEnabled. | 'Disabilitato' 'Enabled' (obbligatorio) |
storageAccountAccessKey | Specifica la chiave identificatore dell'account di archiviazione di controllo. Se lo stato è Abilitato e storageEndpoint viene specificato, non specificando storageAccountAccessKey userà l'identità gestita assegnata dal sistema di SQL Server per accedere all'archiviazione. Prerequisiti per l'uso dell'autenticazione di identità gestita: 1. Assegnare SQL Server un'identità gestita assegnata dal sistema in Azure Active Directory (AAD). 2. Concedere SQL Server accesso all'identità all'account di archiviazione aggiungendo il ruolo di controllo degli accessi in base al ruolo di Collaboratore dati BLOB di archiviazione all'identità del server. Per altre informazioni, vedere Controllo dell'archiviazione tramite l'autenticazione di identità gestita |
string |
storageAccountSubscriptionId | Specifica l'ID sottoscrizione dell'archiviazione BLOB. | string Vincoli: Lunghezza minima = 36 Lunghezza massima = 36 Pattern = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ |
storageEndpoint | Specifica l'endpoint di archiviazione BLOB , ad esempio https://MyAccount.blob.core.windows.net . Se lo stato è Abilitato, è necessario storageEndpoint o isAzureMonitorTargetEnabled. |
string |
Definizione della risorsa modello di Resource Manager
Il tipo di risorsa server/database/extendedAuditingSettings può essere distribuito con operazioni destinate:
- Gruppi di risorse - Vedere i comandi di distribuzione del gruppo di risorse
Per un elenco delle proprietà modificate in ogni versione dell'API, vedere log delle modifiche.
Formato di risorsa
Per creare una risorsa Microsoft.Sql/servers/databases/extendedAuditingSettings, aggiungere il codice JSON seguente al modello.
{
"type": "Microsoft.Sql/servers/databases/extendedAuditingSettings",
"apiVersion": "2017-03-01-preview",
"name": "default",
"properties": {
"auditActionsAndGroups": [ "string" ],
"isAzureMonitorTargetEnabled": "bool",
"isStorageSecondaryKeyInUse": "bool",
"predicateExpression": "string",
"queueDelayMs": "int",
"retentionDays": "int",
"state": "string",
"storageAccountAccessKey": "string",
"storageAccountSubscriptionId": "string",
"storageEndpoint": "string"
}
}
Valori delle proprietà
servers/databases/extendedAuditingSettings
Nome | Descrizione | Valore |
---|---|---|
tipo | Tipo di risorsa | 'Microsoft.Sql/servers/database/extendedAuditingSettings' |
apiVersion | Versione dell'API risorsa | '2017-03-01-preview' |
name | Nome della risorsa Vedere come impostare nomi e tipi per le risorse figlio nei modelli di RESOURCE JSON. |
'default' |
properties | Proprietà delle risorse. | ExtendedDatabaseBlobAuditingPolicyProperties |
ExtendedDatabaseBlobAuditingPolicyProperties
Nome | Descrizione | Valore |
---|---|---|
auditActionsAndGroups | Specifica la Actions-Groups e le azioni da controllare. Il set consigliato di gruppi di azioni da usare è la combinazione seguente: in questo modo verranno controllate tutte le query e le stored procedure eseguite nel database, nonché gli account di accesso riusciti e non riusciti: BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP. Questa combinazione precedente è anche il set configurato per impostazione predefinita quando si abilita il controllo dalla portale di Azure. I gruppi di azioni supportati da controllare sono (nota: scegliere solo gruppi specifici che coprono le esigenze di controllo. L'uso di gruppi non necessari potrebbe causare grandi quantità di record di controllo: APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP Si tratta di gruppi che coprono tutte le istruzioni SQL e le stored procedure eseguite sul database e non devono essere usati in combinazione con altri gruppi, in quanto ciò comporterà la duplicazione dei log di controllo. Per altre informazioni, vedere Gruppi di azioni di controllo a livello di database. Per i criteri di controllo del database, è anche possibile specificare azioni specifiche. Si noti che non è possibile specificare Azioni per i criteri di controllo del server. Le azioni supportate da controllare sono: SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES Il formato generale per la definizione di un'azione da controllare è: {action} ON {object} BY {principal} Si noti che {object} nel formato precedente può fare riferimento a un oggetto come una tabella, una vista o una stored procedure oppure un intero database o uno schema. Per questi ultimi casi, vengono usati rispettivamente i moduli DATABASE::{db_name} e SCHEMA::{schema_name} . Ad esempio: SELECT on dbo.myTable by public SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public Per altre informazioni, vedere Azioni di controllo a livello di database |
string[] |
isAzureMonitorTargetEnabled | Specifica se gli eventi di controllo vengono inviati a Monitoraggio di Azure. Per inviare gli eventi a Monitoraggio di Azure, specificare 'state' come 'Enabled' e 'isAzureMonitorTargetEnabled' come true. Quando si usa l'API REST per configurare il controllo, è necessario creare anche le impostazioni di diagnostica con la categoria dei log di diagnostica "SQLSecurityAuditEvents" nel database. Si noti che per il controllo a livello di server è consigliabile usare il database 'master' come {databaseName}. Formato URI impostazioni di diagnostica: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview Per altre informazioni, vedere API REST delle impostazioni di diagnostica o Impostazioni di diagnostica di PowerShell |
bool |
isStorageSecondaryKeyInUse | Specifica se il valore storageAccountAccessKey è la chiave secondaria dell'archiviazione. | bool |
predicateExpression | Specifica la condizione della clausola where durante la creazione di un controllo. | string |
queueDelayMs | Indica la quantità di tempo in millisecondi che può trascorrere prima che venga forzata l'elaborazione delle azioni di controllo. Il valore minimo predefinito è 1000 (1 secondo), Il valore massimo è 2.147.483.647. |
INT |
retentionDays | Specifica il numero di giorni da mantenere nei log di controllo nell'account di archiviazione. | INT |
state | Specifica lo stato dei criteri. Se lo stato è Abilitato, sono necessari storageEndpoint o isAzureMonitorTargetEnabled. | 'Disabilitato' 'Enabled' (obbligatorio) |
storageAccountAccessKey | Specifica la chiave dell'identificatore dell'account di archiviazione di controllo. Se lo stato è Abilitato e viene specificato storageEndpoint, non specificando storageAccountAccessKey verrà usata l'identità gestita assegnata dal sistema di SQL Server per accedere alla risorsa di archiviazione. Prerequisiti per l'uso dell'autenticazione dell'identità gestita: 1. Assegnare SQL Server un'identità gestita assegnata dal sistema in Azure Active Directory (AAD). 2. Concedere SQL Server'accesso all'identità all'account di archiviazione aggiungendo il ruolo Di controllo degli accessi in base al ruolo "Collaboratore ai dati dei BLOB di archiviazione" all'identità del server. Per altre informazioni, vedere Controllo dell'archiviazione tramite l'autenticazione dell'identità gestita |
string |
storageAccountSubscriptionId | Specifica l'ID sottoscrizione dell'archiviazione BLOB. | string Vincoli: Lunghezza minima = 36 Lunghezza massima = 36 Pattern = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ |
storageEndpoint | Specifica l'endpoint di archiviazione BLOB , ad esempio https://MyAccount.blob.core.windows.net . Se lo stato è Abilitato, è necessario storageEndpoint o isAzureMonitorTargetEnabled. |
string |
Definizione della risorsa Terraform (provider AzAPI)
Il tipo di risorsa servers/databases/extendedAuditingSettings può essere distribuito con operazioni destinate a:
- Gruppi di risorse
Per un elenco delle proprietà modificate in ogni versione dell'API, vedere Log delle modifiche.
Formato di risorsa
Per creare una risorsa Microsoft.Sql/servers/databases/extendedAuditingSettings, aggiungere il codice Terraform seguente al modello.
resource "azapi_resource" "symbolicname" {
type = "Microsoft.Sql/servers/databases/extendedAuditingSettings@2017-03-01-preview"
name = "default"
parent_id = "string"
body = jsonencode({
properties = {
auditActionsAndGroups = [
"string"
]
isAzureMonitorTargetEnabled = bool
isStorageSecondaryKeyInUse = bool
predicateExpression = "string"
queueDelayMs = int
retentionDays = int
state = "string"
storageAccountAccessKey = "string"
storageAccountSubscriptionId = "string"
storageEndpoint = "string"
}
})
}
Valori delle proprietà
servers/databases/extendedAuditingSettings
Nome | Descrizione | Valore |
---|---|---|
tipo | Tipo di risorsa | "Microsoft.Sql/servers/databases/extendedAuditingSettings@2017-03-01-preview" |
name | Nome della risorsa | "default" |
parent_id | ID della risorsa padre per questa risorsa. | ID per la risorsa di tipo: database |
properties | Proprietà delle risorse. | ExtendedDatabaseBlobAuditingPolicyProperties |
ExtendedDatabaseBlobAuditingPolicyProperties
Nome | Descrizione | Valore |
---|---|---|
auditActionsAndGroups | Specifica la Actions-Groups e le azioni da controllare. Il set consigliato di gruppi di azioni da usare è la combinazione seguente: in questo modo verranno controllate tutte le query e le stored procedure eseguite nel database, nonché gli account di accesso riusciti e non riusciti: BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP. Questa combinazione precedente è anche il set configurato per impostazione predefinita quando si abilita il controllo dalla portale di Azure. I gruppi di azioni supportati da controllare sono (nota: scegliere solo gruppi specifici che coprono le esigenze di controllo. L'uso di gruppi non necessari potrebbe causare grandi quantità di record di controllo: APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP Questi sono gruppi che coprono tutte le istruzioni sql e le stored procedure eseguite nel database e non devono essere usati in combinazione con altri gruppi, in quanto ciò comporta i log di controllo duplicati. Per altre informazioni, vedere Gruppi di azioni di controllo a livello di database. Per i criteri di controllo del database, è anche possibile specificare azioni specifiche (si noti che non è possibile specificare Azioni per i criteri di controllo server). Le azioni supportate da controllare sono: SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES Il modulo generale per la definizione di un'azione da controllare è: {action} ON {object} BY {principal} Si noti che {object} nel formato precedente può fare riferimento a un oggetto come una tabella, una vista o una stored procedure o un intero database o uno schema. Per questi ultimi casi, vengono usati rispettivamente i moduli DATABASE::{db_name} e SCHEMA::{schema_name} . Ad esempio: SELECT in dbo.myTable per pubblico SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public Per altre informazioni, vedere Azioni di controllo a livello di database |
string[] |
isAzureMonitorTargetEnabled | Specifica se gli eventi di controllo vengono inviati a Monitoraggio di Azure. Per inviare gli eventi a Monitoraggio di Azure, specificare 'state' come 'Enabled' e 'isAzureMonitorTargetEnabled' come true. Quando si usa l'API REST per configurare il controllo, è necessario creare anche le impostazioni di diagnostica con 'SQLSecurityAuditEvents' nel database. Si noti che per il controllo a livello di server è consigliabile usare il database 'master' come {databaseName}. Formato URI impostazioni di diagnostica: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview Per altre informazioni, vedere API REST impostazioni di diagnostica o Impostazioni di diagnostica PowerShell |
bool |
isStorageSecondaryKeyInUse | Specifica se il valore storageAccountAccessKey è la chiave secondaria dell'archiviazione. | bool |
predicateExpression | Specifica la condizione della clausola where durante la creazione di un controllo. | string |
queueDelayMs | Indica la quantità di tempo in millisecondi che può trascorrere prima che venga forzata l'elaborazione delle azioni di controllo. Il valore minimo predefinito è 1000 (1 secondo), Il massimo è 2.147.483.647. |
INT |
retentionDays | Specifica il numero di giorni da mantenere nei log di controllo nell'account di archiviazione. | INT |
state | Specifica lo stato del criterio. Se lo stato è Abilitato, è necessario storageEndpoint o isAzureMonitorTargetEnabled. | "Disabilitato" "Abilitato" (obbligatorio) |
storageAccountAccessKey | Specifica la chiave identificatore dell'account di archiviazione di controllo. Se lo stato è Abilitato e storageEndpoint viene specificato, non specificando storageAccountAccessKey userà l'identità gestita assegnata dal sistema di SQL Server per accedere all'archiviazione. Prerequisiti per l'uso dell'autenticazione di identità gestita: 1. Assegnare SQL Server un'identità gestita assegnata dal sistema in Azure Active Directory (AAD). 2. Concedere SQL Server accesso all'identità all'account di archiviazione aggiungendo il ruolo di controllo degli accessi in base al ruolo di Collaboratore dati BLOB di archiviazione all'identità del server. Per altre informazioni, vedere Controllo dell'archiviazione tramite l'autenticazione di identità gestita |
string |
storageAccountSubscriptionId | Specifica l'ID sottoscrizione dell'archiviazione BLOB. | string Vincoli: Lunghezza minima = 36 Lunghezza massima = 36 Pattern = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ |
storageEndpoint | Specifica l'endpoint di archiviazione BLOB , ad esempio https://MyAccount.blob.core.windows.net . Se lo stato è Abilitato, è necessario storageEndpoint o isAzureMonitorTargetEnabled. |
string |