중요
이 시스템 테이블은 공개 미리 보기 상태에 있습니다.
이 문서에서는 감사 로그 테이블 스키마를 간략하게 설명하고 일반적인 계정 활동 질문에 대답하기 위해 감사 로그 시스템 테이블과 함께 사용할 수 있는 샘플 쿼리가 있습니다. 감사 로그 이벤트에 대한 자세한 내용은 진단 로그 참조를 참조하세요.
테이블 경로: 이 시스템 테이블은 system.access.audit있습니다.
감사 로그 고려 사항
- 대부분의 감사 로그는 작업 영역의 지역에서만 사용할 수 있습니다.
- 계정 수준 감사 로그는
workspace_id을0로 기록합니다. - 작업 공간을 삭제하면, Azure Databricks는 해당 작업 공간의 감사 이벤트를 14일
system.access.audit이상 지난 것들을 제거합니다. - 카탈로그가
__databricks_internal감사 이벤트 또는 다른 시스템 테이블에 표시되는 경우 Azure Databricks 내부 상태를 저장하는 데 사용하는 예약 카탈로그입니다. 카탈로그를__databricks_internal참조하세요. - 일부 이벤트에서는 SQL 정의가 포함된 키
request_params가 계정 관리자나 그룹 회원databricks_pii_access이 아닌 이상 생략됩니다. 접근 마스크 요청 매개변수를 참조하세요.
감사 로그 시스템 테이블 스키마
감사 로그 시스템 테이블은 다음 스키마를 사용합니다.
| 열 이름 | 데이터 형식 | 설명 | 예시 |
|---|---|---|---|
account_id |
문자열 | 계정의 ID | 23e22ba4-87b9-4cc2-9770-d10b894bxx |
workspace_id |
문자열 | 작업 영역의 ID | 1234567890123456 |
version |
문자열 | 감사 로그 스키마 버전 | 2.0 |
event_time |
시간표시 | 이벤트의 타임스탬프입니다. 표준 시간대 정보는 UTC 표준 시간대를 나타내는 +00:00 사용하여 값의 끝에 기록됩니다. |
2023-01-01T01:01:01.123+00:00 |
event_date |
날짜 | 작업이 수행된 일정 날짜입니다. 쿼리 성능을 향상시키려면 .event_dateevent_time |
2023-01-01 |
source_ip_address |
문자열 | 요청이 시작된 IP 주소 | 10.30.0.242 |
user_agent |
문자열 | 요청의 원본 | Apache-HttpClient/4.5.13 (Java/1.8.0_345) |
session_id |
문자열 | 요청이 발생한 세션의 ID | 123456789 |
user_identity |
구조체 (struct) | 사용자 시작 요청의 ID | {"email": "user@domain.com","subjectName": null} |
service_name |
문자열 | 서비스 이름 시작 요청 | unityCatalog |
action_name |
문자열 | 감사 로그에 캡처된 이벤트의 범주 | getTable |
request_id |
문자열 | 요청 ID | ServiceMain-4529754264 |
request_params |
지도 | 모든 요청 매개 변수를 포함하는 키 값의 맵입니다. 요청 유형에 따라 다릅니다. 일부 이벤트에서는 SQL 정의가 포함된 키가 계정 관리자나 그룹 회원 databricks_pii_access 이 아닌 이상 생략됩니다.
접근 마스크 요청 매개변수를 참조하세요. |
[["full_name_arg", "user.chat.messages"],["workspace_id", "123456789"],["metastore_id", "123456789"]] |
response |
구조체 (struct) | 응답 반환 값의 구조체 | {"statusCode": 200, "errorMessage": null,"result": null} |
audit_level |
문자열 | 작업 영역 또는 계정 수준 이벤트 | ACCOUNT_LEVEL |
event_id |
문자열 | 이벤트의 ID | 34ac703c772f3549dcc8671f654950f0 |
identity_metadata |
구조체 (struct) |
run_by 및 run_as포함하여 작업에 관련된 아이덴티티입니다. 식별 메타데이터 참조 및 감사 그룹 전용 컴퓨팅 활동을 참조하세요. |
{"run_by": "example@email.com","run_as": "example@email.com"} |
아이덴티티 메타데이터 참조
identity_metadata 구조체에는 다음 스키마가 있습니다.
{
"run_by": "string",
"run_as": "string",
"run_by_display_name": "string",
"run_as_display_name": "string",
"acting_resource": "string",
"acting_resource_type": "string",
"acting_resource_display_name": "string"
}
구조체는 동작에 관련된 정체성을 포착합니다:
-
run_by는 이벤트를 시작한 식별 정보이며,run_as는 권한 부여에 사용되는 식별 정보입니다.run_by_display_name그리고run_as_display_name이들의 인간이 읽을 수 있는 디스플레이 네임입니다. -
acting_resourceacting_resource_typeacting_resource_display_name, 그리고 자원이 사용자를 대신해 행동할 때 생성되며, 예를 들어 OAuth 앱이 포함됩니다.acting_resource는 리소스 경로,acting_resource_type는 리소스 유형, 그리고acting_resource_display_name는 사용자가 읽을 수 있는 이름입니다(OAuth 앱의 경우 앱 이름).
경로는 acting_resource 다음과 같은 형태를 취합니다:
-
accounts/<account_id>/published-app-client-ids/<client_id>예를databricks-cli들어, 배우가 공개된 OAuth 앱일 때, . -
accounts/<account_id>/oauth2/custom-app-integrations/<client_id>액터가 고객 OAuth 앱일 때, 여기서<client_id>는 UUID.
접근 마스크 요청 매개변수
일부 감사 이벤트는 SQL 정의를 request_params. 이 키들은 계정 관리자나 계정 수준 그룹의 회원 databricks_pii_access 이 아닌 이상 제외됩니다:
function_infoview_definitiondefinition_jsonmanaged_definition
다른 키들은 입력 request_params 하고 나머지 열은 변하지 않습니다. 마스크가 드러나지 않은 가치에 대한 접근은 그룹을 databricks_pii_access 통해 이루어집니다. 그룹 생성 및 회원 및 권한 관리는 '그룹 생성 및 관리databricks_pii_access'를 참조하세요.