Condividi tramite


Workspace Managed Sql Server Blob Auditing Policies - Create Or Update

Creare o aggiornare i criteri di controllo BLOB del server.
Creare o aggiornare i criteri di controllo BLOB di SQL Server gestiti per un'area di lavoro.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Synapse/workspaces/{workspaceName}/auditingSettings/default?api-version=2021-06-01

Parametri dell'URI

Nome In Necessario Tipo Descrizione
blobAuditingPolicyName
path True

BlobAuditingPolicyName

Nome dei criteri di controllo BLOB.

resourceGroupName
path True

string

Nome del gruppo di risorse. Per il nome non viene fatta distinzione tra maiuscole e minuscole.

subscriptionId
path True

string

ID della sottoscrizione di destinazione.

workspaceName
path True

string

Nome dell'area di lavoro.

api-version
query True

string

Versione dell'API da usare per questa operazione.

Corpo della richiesta

Nome Necessario Tipo Descrizione
properties.state True

BlobAuditingPolicyState

Specifica lo stato dei criteri. Se lo stato è Abilitato, sono necessari storageEndpoint o isAzureMonitorTargetEnabled.

properties.auditActionsAndGroups

string[]

Specifica la Actions-Groups e le azioni da controllare.

Il set consigliato di gruppi di azioni da usare è la combinazione seguente: in questo modo verranno controllate tutte le query e le stored procedure eseguite sul database, nonché gli accessi riusciti e non riusciti:

BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP.

Questa combinazione precedente è anche il set configurato per impostazione predefinita quando si abilita il controllo dal portale di Azure.

I gruppi di azioni supportati da controllare sono (nota: scegliere solo gruppi specifici che coprono le esigenze di controllo. L'uso di gruppi non necessari potrebbe causare grandi quantità di record di controllo:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_ OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP

Si tratta di gruppi che coprono tutte le istruzioni SQL e le stored procedure eseguite sul database e non devono essere usati in combinazione con altri gruppi, in quanto ciò comporterà la duplicazione dei log di controllo.

Per altre informazioni, vedere Gruppi di azioni di controllo a livello di database.

Per i criteri di controllo del database, è anche possibile specificare azioni specifiche. Si noti che non è possibile specificare Azioni per i criteri di controllo del server. Le azioni supportate da controllare sono: SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES

Il modulo generale per la definizione di un'azione da controllare è: {action} ON {object} BY {principal}

Si noti che nel formato precedente può fare riferimento a un oggetto come una tabella, una vista o una stored procedure oppure un intero database o uno schema. Per questi ultimi casi, vengono usati rispettivamente i moduli DATABASE::{db_name} e SCHEMA::{schema_name} .

Ad esempio: SELECT on dbo.myTable by public SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public

Per altre informazioni, vedere Azioni di controllo a livello di database

properties.isAzureMonitorTargetEnabled

boolean

Specifica se gli eventi di controllo vengono inviati a Monitoraggio di Azure. Per inviare gli eventi a Monitoraggio di Azure, specificare 'state' come 'Enabled' e 'isAzureMonitorTargetEnabled' come true.

Quando si usa l'API REST per configurare il controllo, è necessario creare anche le impostazioni di diagnostica con la categoria dei log di diagnostica "SQLSecurityAuditEvents" nel database. Si noti che per il controllo a livello di server è consigliabile usare il database 'master' come {databaseName}.

Formato URI impostazioni di diagnostica: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Per altre informazioni, vedere Api REST delle impostazioni di diagnostica o Impostazioni di diagnostica powerShell

properties.isDevopsAuditEnabled

boolean

Specifica lo stato del controllo devops. Se lo stato è Abilitato, i log devops verranno inviati a Monitoraggio di Azure. Per inviare gli eventi a Monitoraggio di Azure, specificare 'State' come 'Enabled', 'IsAzureMonitorTargetEnabled' come true e 'IsDevopsAuditEnabled' come true

Quando si usa l'API REST per configurare il controllo, è necessario creare anche le impostazioni di diagnostica con la categoria di log di diagnostica 'DevOpsOperationsAudit' nel database master.

Formato URI impostazioni di diagnostica: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/master/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Per altre informazioni, vedere Api REST delle impostazioni di diagnostica o Impostazioni di diagnostica powerShell

properties.isStorageSecondaryKeyInUse

boolean

Specifica se il valore storageAccountAccessKey è la chiave secondaria dell'archiviazione.

properties.queueDelayMs

integer

Indica la quantità di tempo in millisecondi che può trascorrere prima che venga forzata l'elaborazione delle azioni di controllo. Il valore minimo predefinito è 1000 (1 secondo), Il valore massimo è 2.147.483.647.

properties.retentionDays

integer

Specifica il numero di giorni da mantenere nei log di controllo nell'account di archiviazione.

properties.storageAccountAccessKey

string

Specifica la chiave dell'identificatore dell'account di archiviazione di controllo. Se lo stato è Abilitato e viene specificato storageEndpoint, non specificando storageAccountAccessKey verrà usata l'identità gestita assegnata dal sistema di SQL Server per accedere alla risorsa di archiviazione. Prerequisiti per l'uso dell'autenticazione dell'identità gestita:

  1. Assegnare SQL Server un'identità gestita assegnata dal sistema in Azure Active Directory (AAD).
  2. Concedere SQL Server l'accesso all'identità all'account di archiviazione aggiungendo il ruolo di controllo degli accessi in base al ruolo "Collaboratore ai dati dei BLOB di archiviazione" all'identità del server. Per altre informazioni, vedere Controllo dell'archiviazione tramite l'autenticazione dell'identità gestita
properties.storageAccountSubscriptionId

string

Specifica l'ID sottoscrizione dell'archiviazione BLOB.

properties.storageEndpoint

string

Specifica l'endpoint di archiviazione BLOB , ad esempio https://MyAccount.blob.core.windows.net. Se lo stato è Abilitato, è necessario storageEndpoint o isAzureMonitorTargetEnabled.

Risposte

Nome Tipo Descrizione
200 OK

ServerBlobAuditingPolicy

Le impostazioni di controllo sono state aggiornate correttamente.

202 Accepted

Accettato

Other Status Codes

Risposte di errore:

  • 400 InvalidServerBlobAuditingPolicyCreateRequest- La richiesta di criteri di controllo BLOB del server di creazione non esiste o non ha alcun oggetto proprietà.

  • 400 InvalidBlobAuditActionsAndGroups - Azioni di controllo o gruppi di azioni non validi.

  • 400 DataSecurityInvalidUserSuppliedParameter - Il client ha fornito un valore di parametro non valido.

  • 400 BlobAuditingInvalidStorageAccountCredentials: l'account di archiviazione o la chiave di accesso forniti non è valido.

  • 400 InvalidBlobAuditActionsAndGroups - Azioni di controllo o gruppi di azioni non validi.

  • 400 InsufficientDiskSpaceForAuditing - Spazio su disco insufficiente per salvare i metadati di controllo nel database

400 InvalidBlobAuditActions - Azione di controllo non valida.

  • 404 SubscriptionDoesNotHaveServer - Il server richiesto non è stato trovato

  • 404 ServerNotInSubscriptionResourceGroup - Il server specificato non esiste nel gruppo di risorse e nella sottoscrizione specificati.

  • 409 UnsupportedWorkspaceType - Operazione non supportata per il tipo di area di lavoro.

  • 500 InternalServerError- Si è verificato un problema.

Esempio

Create or update blob auditing policy of workspace managed Sql Server with minimal parameters
Create or update blob auditing policy of workspace SQL Server with all parameters

Create or update blob auditing policy of workspace managed Sql Server with minimal parameters

Esempio di richiesta

PUT https://management.azure.com/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/wsg-7398/providers/Microsoft.Synapse/workspaces/testWorkspace/auditingSettings/default?api-version=2021-06-01

{
  "properties": {
    "state": "Enabled",
    "storageAccountAccessKey": "sdlfkjabc+sdlfkjsdlkfsjdfLDKFTERLKFDFKLjsdfksjdflsdkfD2342309432849328476458/3RSD==",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Risposta di esempio

{
  "id": "/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/wsg-7398/providers/Microsoft.Synapse/workspaces/testWorkspace/auditingSettings/default",
  "name": "default",
  "type": "Microsoft.Synapse/workspaces/auditingSettings",
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net",
    "retentionDays": 6,
    "storageAccountSubscriptionId": "00000000-1234-0000-5678-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "auditActionsAndGroups": [
      "SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP",
      "FAILED_DATABASE_AUTHENTICATION_GROUP",
      "BATCH_COMPLETED_GROUP"
    ]
  }
}

Create or update blob auditing policy of workspace SQL Server with all parameters

Esempio di richiesta

PUT https://management.azure.com/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/wsg-7398/providers/Microsoft.Synapse/workspaces/testWorkspace/auditingSettings/default?api-version=2021-06-01

{
  "properties": {
    "state": "Enabled",
    "storageAccountAccessKey": "sdlfkjabc+sdlfkjsdlkfsjdfLDKFTERLKFDFKLjsdfksjdflsdkfD2342309432849328476458/3RSD==",
    "storageEndpoint": "https://mystorage.blob.core.windows.net",
    "retentionDays": 6,
    "storageAccountSubscriptionId": "00000000-1234-0000-5678-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "queueDelayMs": 4000,
    "auditActionsAndGroups": [
      "SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP",
      "FAILED_DATABASE_AUTHENTICATION_GROUP",
      "BATCH_COMPLETED_GROUP"
    ],
    "isAzureMonitorTargetEnabled": true
  }
}

Risposta di esempio

{
  "id": "/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/wsg-7398/providers/Microsoft.Synapse/workspaces/testWorkspace/auditingSettings/default",
  "name": "default",
  "type": "Microsoft.Synapse/workspaces/auditingSettings",
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net",
    "retentionDays": 6,
    "storageAccountSubscriptionId": "00000000-1234-0000-5678-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "queueDelayMs": 4000,
    "auditActionsAndGroups": [
      "SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP",
      "FAILED_DATABASE_AUTHENTICATION_GROUP",
      "BATCH_COMPLETED_GROUP"
    ],
    "isAzureMonitorTargetEnabled": true
  }
}

Definizioni

Nome Descrizione
BlobAuditingPolicyName

Nome dei criteri di controllo BLOB.

BlobAuditingPolicyState

Specifica lo stato dei criteri. Se lo stato è Abilitato, sono necessari storageEndpoint o isAzureMonitorTargetEnabled.

ServerBlobAuditingPolicy

Criteri di controllo BLOB del server.

BlobAuditingPolicyName

Nome dei criteri di controllo BLOB.

Nome Tipo Descrizione
default

string

BlobAuditingPolicyState

Specifica lo stato dei criteri. Se lo stato è Abilitato, sono necessari storageEndpoint o isAzureMonitorTargetEnabled.

Nome Tipo Descrizione
Disabled

string

Enabled

string

ServerBlobAuditingPolicy

Criteri di controllo BLOB del server.

Nome Tipo Descrizione
id

string

ID di risorsa completo per la risorsa. Ad esempio - /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}

name

string

nome della risorsa.

properties.auditActionsAndGroups

string[]

Specifica la Actions-Groups e le azioni da controllare.

Il set consigliato di gruppi di azioni da usare è la combinazione seguente: in questo modo verranno controllate tutte le query e le stored procedure eseguite sul database, nonché gli accessi riusciti e non riusciti:

BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP.

Questa combinazione precedente è anche il set configurato per impostazione predefinita quando si abilita il controllo dal portale di Azure.

I gruppi di azioni supportati da controllare sono (nota: scegliere solo gruppi specifici che coprono le esigenze di controllo. L'uso di gruppi non necessari potrebbe causare grandi quantità di record di controllo:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_ OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP

Si tratta di gruppi che coprono tutte le istruzioni SQL e le stored procedure eseguite sul database e non devono essere usati in combinazione con altri gruppi, in quanto ciò comporterà la duplicazione dei log di controllo.

Per altre informazioni, vedere Gruppi di azioni di controllo a livello di database.

Per i criteri di controllo del database, è anche possibile specificare azioni specifiche. Si noti che non è possibile specificare Azioni per i criteri di controllo del server. Le azioni supportate da controllare sono: SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES

Il modulo generale per la definizione di un'azione da controllare è: {action} ON {object} BY {principal}

Si noti che nel formato precedente può fare riferimento a un oggetto come una tabella, una vista o una stored procedure oppure un intero database o uno schema. Per questi ultimi casi, vengono usati rispettivamente i moduli DATABASE::{db_name} e SCHEMA::{schema_name} .

Ad esempio: SELECT on dbo.myTable by public SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public

Per altre informazioni, vedere Azioni di controllo a livello di database

properties.isAzureMonitorTargetEnabled

boolean

Specifica se gli eventi di controllo vengono inviati a Monitoraggio di Azure. Per inviare gli eventi a Monitoraggio di Azure, specificare 'state' come 'Enabled' e 'isAzureMonitorTargetEnabled' come true.

Quando si usa l'API REST per configurare il controllo, è necessario creare anche le impostazioni di diagnostica con la categoria dei log di diagnostica "SQLSecurityAuditEvents" nel database. Si noti che per il controllo a livello di server è consigliabile usare il database 'master' come {databaseName}.

Formato URI impostazioni di diagnostica: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Per altre informazioni, vedere Api REST delle impostazioni di diagnostica o Impostazioni di diagnostica powerShell

properties.isDevopsAuditEnabled

boolean

Specifica lo stato del controllo devops. Se lo stato è Abilitato, i log devops verranno inviati a Monitoraggio di Azure. Per inviare gli eventi a Monitoraggio di Azure, specificare 'State' come 'Enabled', 'IsAzureMonitorTargetEnabled' come true e 'IsDevopsAuditEnabled' come true

Quando si usa l'API REST per configurare il controllo, è necessario creare anche le impostazioni di diagnostica con la categoria di log di diagnostica 'DevOpsOperationsAudit' nel database master.

Formato URI impostazioni di diagnostica: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/master/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Per altre informazioni, vedere Api REST delle impostazioni di diagnostica o Impostazioni di diagnostica powerShell

properties.isStorageSecondaryKeyInUse

boolean

Specifica se il valore storageAccountAccessKey è la chiave secondaria dell'archiviazione.

properties.queueDelayMs

integer

Indica la quantità di tempo in millisecondi che può trascorrere prima che venga forzata l'elaborazione delle azioni di controllo. Il valore minimo predefinito è 1000 (1 secondo), Il valore massimo è 2.147.483.647.

properties.retentionDays

integer

Specifica il numero di giorni da mantenere nei log di controllo nell'account di archiviazione.

properties.state

BlobAuditingPolicyState

Specifica lo stato dei criteri. Se lo stato è Abilitato, sono necessari storageEndpoint o isAzureMonitorTargetEnabled.

properties.storageAccountAccessKey

string

Specifica la chiave dell'identificatore dell'account di archiviazione di controllo. Se lo stato è Abilitato e viene specificato storageEndpoint, non specificando storageAccountAccessKey verrà usata l'identità gestita assegnata dal sistema di SQL Server per accedere alla risorsa di archiviazione. Prerequisiti per l'uso dell'autenticazione dell'identità gestita:

  1. Assegnare SQL Server un'identità gestita assegnata dal sistema in Azure Active Directory (AAD).
  2. Concedere SQL Server l'accesso all'identità all'account di archiviazione aggiungendo il ruolo di controllo degli accessi in base al ruolo "Collaboratore ai dati dei BLOB di archiviazione" all'identità del server. Per altre informazioni, vedere Controllo dell'archiviazione tramite l'autenticazione dell'identità gestita
properties.storageAccountSubscriptionId

string

Specifica l'ID sottoscrizione dell'archiviazione BLOB.

properties.storageEndpoint

string

Specifica l'endpoint di archiviazione BLOB , ad esempio https://MyAccount.blob.core.windows.net. Se lo stato è Abilitato, è necessario storageEndpoint o isAzureMonitorTargetEnabled.

type

string

Tipo di risorsa. Ad esempio, "Microsoft.Compute/virtualMachines" o "Microsoft.Storage/storageAccounts"