Azure Synapse Analytics の監査を設定する

Tip

Microsoft Fabric Data Warehouse は、将来のアーキテクチャ、組み込みの AI、および新機能を備えた、Data Lake 基盤上のエンタープライズ 規模のリレーショナル ウェアハウスです。 データ ウェアハウスを初めて使用する場合は、Fabric Data Warehouseから始めます。 既存の dedicated SQL プール ワークロードは、Fabric にアップグレードして、データ サイエンス、リアルタイム分析、レポートの新機能にアクセスできます。

この記事では、Azure Synapse Analyticsで論理サーバーやデータベースの監査を設定する方法を学びます。

サーバーの監査を設定する

デフォルトの監査ポリシーには、データベースに対して実行されたすべてのクエリやストアドプロシージャ、およびサインインの成功と失敗を監査する以下のアクショングループが含まれます。

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

カスタム フィルターやプログラムによる構成については、「API を使用した Azure Synapse Analytics の監査の管理」を参照してください。

Note

一時停止した専用 SQL プールで監査を有効にすることはできません。 監査を構成する前に、クイックスタート: Azure portal を使用して専用 SQL プールのコンピューティングを一時停止して再開するを参照してください。

AzureポータルやPowerShellコマンドレットで監査をLog AnalyticsワークスペースまたはEvent Hubsの宛先に設定すると、SQLSecurityAuditEventsが作成され、カテゴリが有効になります。

  1. AzureポータルでSynapse SQL serverリソースを開きます。
  2. [セキュリティ] の下で [監査] を選択します。
  3. サーバーレベルやデータベースレベルで監査を有効にしてください。 サーバーレベルのポリシーは、そのサーバー上のすべてのデータベースに適用されます。 スコープの選択に関するガイダンスについては、 サーバーおよびデータベースレベルの監査ポリシーを参照してください。
  4. 1つ以上の宛先を選択します:Azure Storage、Log Analytics、またはEvent Hubs。
  5. 各宛先を設定してからポリシーを保存します。

Azure Storage 宛ての監査ログ

ストレージアカウントへの監査ログの書き込みを設定するには、「 ストレージ」を選択し、アカウントを選択して保持期間を設定します。

  • アカウントが仮想ネットワークやファイアウォールの背後にある場合、監査はサーバーのシステム割り当て管理IDを使用します。 そのアイデンティティに Storage Blob Data Contributor の役割を付与してください。
  • アカウントが仮想ネットワークやファイアウォールの背後にいなければ、ポータルはストレージアクセスキーの認証を設定します。

保持値が 0 であれば、保持は無制限です。 無制限保持から有限期間に変更した場合、新しい期間は変更後に書かれたログにのみ適用されます。

保護されたストレージアカウントについては、「 仮想ネットワークとファイアウォールの背後にあるストレージアカウントに監査ログを書き込む」をご覧ください。

警告

ストレージ認証の場合は、マネージド ID を使用します。 ストレージアクセスキーはセキュリティリスクを伴います。なぜなら、もしアクセスキーが侵害された場合、不正な個人があなたのストレージアカウントにアクセスし、データの読み書きや削除を行ってしまう可能性があるからです。 これらのリスクを軽減するために、キーを定期的にローテーションし、Azure Key Vaultを使ってキーを安全に管理・ローテーションしましょう。

Log Analytics 保存先への監査の送信

Log Analyticsを選択し、Log Analyticsワークスペースを選択してポリシーを保存します。 ワークスペースが必要な場合は、「Log Analytics ワークスペースを作成する」をご覧ください。

Event Hubs 保存先への監査

Event Hubsを選択し、Synapse SQLリソースと同じリージョン内のイベントハブを選択し、ポリシーを保存します。

監査をAzureの外部モニター(例えばイベントハブやLog Analytics)を対象として構成すると、システムはSQLSecurityAuditEvents_XXXX-XXXX-XXXという追加診断設定リソースを作成します。 このリソースは監査の適切な機能に不可欠です。

診断設定を削除した場合、意図的であれ意図せずであれ、監査機能が機能しなくなり、監査ログは対象の場所に送信されません。 この問題を防ぐために、診断設定の削除に対するアラートを設定してユーザーに通知し、必要な対応を取りましょう。 アクショングループの作成やアラートの設定についての詳細は、「アクショングループ」および「アクティビティ ログ、サービス正常性、またはリソース正常性のアラート ルールを作成または編集する」をご覧ください。

Note

ストレージアカウント、Log Analytics、Event Hubなど複数のターゲットを使う場合は、すべてのターゲットに権限を持っていることを確認してください。 そうでなければ、監査設定の保存が失敗します。なぜならシステムがすべてのターゲットの設定を保存しようとするためです。

関連するコンテンツ

  • 最終更新: