Azure Synapse Analytics에 대한 감사 설정

Tip

Microsoft Fabric Data Warehouse는 데이터 레이크 기반의 엔터프라이즈 규모 관계형 웨어하우스로, 미래 대비 아키텍처, 기본 제공 AI 및 새로운 기능을 제공합니다. 데이터 웨어하우징이 처음이라면, Fabric Data Warehouse부터 시작하세요. 기존 전용 SQL 풀 워크로드는 업그레이드하면 Fabric을 통해 데이터 과학, 실시간 분석 및 보고 전반에 걸쳐 새로운 기능에 액세스할 수 있습니다.

이 글에서는 Azure Synapse Analytics에서 논리 서버나 데이터베이스에 대한 감사를 설정하는 방법을 배웁니다.

서버 감사 구성

기본 감사 정책에는 데이터베이스에 대해 실행된 모든 쿼리와 저장 프로시저, 그리고 성공 및 실패 로그인을 감사하는 다음과 같은 액션 그룹 집합이 포함됩니다:

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

사용자 지정 필터 및 프로그래밍 방식의 구성에 대해서는 API를 이용한 Azure Synapse Analytics 감사 관리(Manage Azure Synapse Analytics auditing using APIs)를 참조하세요.

Note

일시 중지된 전용 SQL 풀에서는 감사를 사용하도록 설정할 수 없습니다. 퀵스타트: Azure 포털을 통해 전용 SQL 풀에서 컴퓨팅을 일시 중지했다가 다시 시작한 후 감사를 구성하세요.

Azure 포털 또는 PowerShell cmdlet에서 Log Analytics 작업 공간 또는 Event Hubs 대상에 감사를 구성할 때, SQLSecurityAuditEvents 범주가 사용 설정된 진단 설정이 생성됩니다.

  1. Azure 포털에서 Synapse SQL 서버 리소스를 엽니다.
  2. 보안에서 감사를 선택합니다.
  3. 서버 또는 데이터베이스 수준에서 감사를 활성화하세요. 서버 수준의 정책은 해당 서버의 모든 데이터베이스에 적용됩니다. 범위 선택에 관한 지침은 서버 및 데이터베이스 수준에서의 감사 정책을(를) 참조하십시오.
  4. 하나 이상의 목적지를 선택하세요: Azure Storage, Log Analytics, 또는 Event Hubs.
  5. 각 목적지를 설정한 후 정책을 저장하세요.

Azure Storage 대상으로 감사

스토리지 계정에 감사 로그를 저장하도록 구성하려면 스토리지를 선택하고 계정을 선택한 후 보존 기간을 설정하세요.

  • 계정이 가상 네트워크나 방화벽 뒤에 있다면, 감사는 서버에 할당된 시스템 관리 ID를 사용합니다. 그 신원에 Storage Blob Data Contributor 역할을 부여하세요.
  • 계정이 가상 네트워크나 방화벽 뒤에 있지 않으면, 포털이 스토리지 액세스 키 인증을 설정합니다.

보존 값이 0이면 무제한 보존을 의미합니다. 무제한 보존에서 유한한 기간으로 변경하면, 새 기간은 변경 이후에 작성된 로그에만 적용됩니다.

보호된 스토리지 계정에 대해서는 가상 네트워크와 방화벽 뒤에 있는 스토리지 계정에 감사 로그 작성을 참조하세요.

Warning

스토리지 인증의 경우 관리 ID를 사용합니다. 스토리지 액세스 키는 보안 위험이 있는데, 만약 침해되면 무단 사용자가 저장 계정에 접근해 데이터를 읽거나 쓰거나 삭제할 수 있기 때문입니다. 이러한 위험을 줄이기 위해 키를 정기적으로 교체하고 Azure Key Vault를 사용해 키를 안전하게 관리하고 교체하세요.

감사 데이터를 Log Analytics 대상으로 전송

Log Analytics를 선택하고 Log Analytics 작업 공간을 선택한 후 정책을 저장하세요. 작업 공간이 필요하다면 Log Analytics 작업 영역 만들기를 참조하세요.

이벤트 허브 대상으로의 감사

이벤트 허브를 선택하고, Synapse SQL 리소스와 같은 지역 내 이벤트 허브를 선택한 후 정책을 저장하세요.

외부 모니터(예: 이벤트 허브나 Log Analytics)를 대상으로 Azure 감사를 설정하면, 시스템은 SQLSecurityAuditEvents_XXXX-XXXX-XXX라는 추가 진단 설정 리소스를 생성합니다. 이 리소스는 감사가 올바르게 수행되는 데 매우 중요합니다.

진단 설정을 의도적이든 아니든 삭제하면 감사 기능이 작동하지 않고, 감사 로그가 대상 위치로 전송되지 않습니다. 이 문제를 방지하기 위해 진단 설정이 삭제될 때 알림을 구성하여 사용자에게 알리고 필요한 조치를 취하세요. 액션 그룹 생성 및 알림 설정에 대한 자세한 내용은 액 션 그룹 과 활동 로그, 서비스 건강 또는 리소스 건강 경고 규칙 생성 또는 편집을 참조하세요.

Note

스토리지 계정, Log Analytics, Event Hubs 등 여러 타겟을 사용한다면, 모든 타겟에 대한 권한이 있는지 확인하세요. 그렇지 않으면 감사 설정 저장이 실패하는데, 시스템이 모든 대상의 설정을 저장하려고 시도하기 때문입니다.

관련 콘텐츠

  • 에 마지막으로 업데이트됨