SQL-revisjonslogger i Fabric datalager

Gjelder for:✅ SQL Analytics-endepunkt og Warehouse i Microsoft Fabric

Overvåking i Fabric datalager gir forbedrede sikkerhets- og samsvarsfunksjoner ved å spore og registrere databasehendelser.

Ved å bruke SQL-revisjonslogger kan du overvåke databaseaktiviteter, oppdage potensielle sikkerhetstrusler og oppfylle samsvarskrav ved å opprettholde en revisjonsspor av viktige handlinger, som for eksempel:

  • Godkjenningsforsøk og tilgangskontrollendringer
  • Datatilgangs- og endringsoperasjoner
  • Skjemaendringer og administrative aktiviteter
  • Tillatelsesendringer og sikkerhetskonfigurasjoner

Important

Som standard er SQL-overvåkingslogger AV. Brukere med tillatelser for overvåkingsspørringer må aktivere den for å registrere loggene.

For å komme i gang, se gjennom trinnene i Hvordan konfigurere SQL-revisjonslogger i Fabric datalager.

Storage

SQL-revisjonslogger krypteres i ro og lagres i OneLake.

For Fabric datalager skrives revisjonslogger til .XEL filer lagret i mappen Warehouse Audit i OneLake.

Brukere med følgende roller kan få tilgang til revisjonsmappen:

  • Workspace-administratorer
  • Workspace-medlemmer
  • Workspace-bidragsytere
  • Arbeidsområdevisere med tillatelse til å lese alle

Disse brukerne kan:

  • Bla gjennom revisjonsmappen
  • Se revisjonsfilene .XEL generert av SQL-revisjon
  • Kopier filene for offline analyse
  • Åpne filene med verktøy som SQL Server Management Studio (SSMS)

Du kan også søke i revisjonslogger med T-SQL via sys.fn_get_audit_file_v2.

Hvis du vil ha instruksjoner, kan du se Slik konfigurerer du SQL-overvåkingslogger i Fabric datalager.

Tip

Konfigurering av overvåkingslogger i Microsoft Fabric datalager kan øke lagringskostnadene avhengig av handlingsgrupper og hendelser som er registrert. Aktiver bare de nødvendige hendelsene for å unngå unødvendige lagringskostnader.

Ytelse

SQL-revisjonsloggfunksjonen er optimalisert for tilgjengeligheten og ytelsen til databasen som revideres. I perioder med svært høy aktivitet eller høy nettverksbelastning kan revisjonsfunksjonen tillate transaksjoner å fortsette uten å registrere alle hendelsene som er merket for revisjon.

Permissions

Brukere må ha tillatelse til revisjonsspørringer (revisjon) for å konfigurere og spørre i revisjonslogger.

  • Som standard har administratorer for arbeidsområder tillatelsen Overvåkingsspørringer til alle elementer i arbeidsområdet.
  • Administratorer kan gi tillatelser for revisjonsforespørsler på elementer til andre brukere via delingsdialogboksen.

Workspace-administratorer kan gi tillatelser til audit-spørringer til et element ved å bruke den delte menyen i Fabric-portalen. Hvis du vil kontrollere om en bruker har tillatelser for overvåkingsspørringer , kontrollerer du innstillingene for Administrer tillatelser .

  1. I lagervaren din, velg Del-knappen .

    Eller, i Fabric-portalen, i arbeidsområdet ditt. Velg kontekstmenyen ... for lagervaren din, velg Administrer tillatelser.

  2. I panelet for tilgang til brukere , gi tillatelser til en bruker.

    Skjermbilde som viser hvor man velger tillatelsen Audit-spørringer (Audit) i delen av elementet.

Søk i revisjonslogger ved å bruke T-SQL-tillatelser

Gi brukerne tillatelse VIEW DATABASE SECURITY AUDIT slik at de kan spørre i revisjonslogger ved å bruke T-SQL-tillatelser, selv om de ikke har administrative roller i arbeidsområdet.

Når du gir følgende tillatelse, kan en bruker spørre i revisjonslogger ved å bruke funksjonen sys.fn_get_audit_file_v2 :

GRANT VIEW DATABASE SECURITY AUDIT TO [user];

Tip

Tillatelsen VIEW DATABASE SECURITY AUDIT gir kun mulighet til å spørre i revisjonslogger. Den gir ikke tilgang til filene eller tillatelse til å endre revisjonskonfigurasjonen.

Overvåkingshandlingsgrupper og handlinger på databasenivå

For å gjøre konfigurasjonen av overvåkingsloggen mer tilgjengelig bruker Fabric-portalen egendefinerte navn for å hjelpe ikke-SQL-administratorer og andre brukere med å enkelt forstå registrerte Fabric datalager-hendelser.

Fabric kobler disse vennlige navnene til de underliggende SQL Audit-handlingsgruppene. Bruk tabellen nedenfor som referanse.

Egendefinert navn Handlingsgruppenavn Description
Objektet ble åpnet DATABASE_OBJECT_ACCESS_GROUP Logger tilgang til databaseobjekter som meldingstyper, samlinger eller kontrakter.
Objektet ble endret DATABASE_OBJECT_CHANGE_GROUP Logger CREATE, ALTEReller DROP operasjoner på databaseobjekter.
Objekteier endret DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP Logger eierskapsendringer for databaseobjekter.
Objekttillatelse ble endret DATABASE_OBJECT_PERMISSION_CHANGE_GROUP Logger GRANT, REVOKEeller DENY handlinger på databaseobjekter.
Brukeren ble endret DATABASE_PRINCIPAL_CHANGE_GROUP Logger oppretting, endring eller sletting av databasekontohavere (brukere, roller).
Brukeren ble etterlignet DATABASE_PRINCIPAL_IMPERSONATION_GROUP Logger representasjonsoperasjoner (for eksempel EXECUTE AS).
Rollemedlem ble endret DATABASE_ROLE_MEMBER_CHANGE_GROUP Logger tillegg eller fjerning av pålogginger fra en databaserolle.
Brukeren kunne ikke logge på FAILED_DATABASE_AUTHENTICATION_GROUP Logger mislyktes godkjenningsforsøk i databasen.
Skjematillatelse ble brukt SCHEMA_OBJECT_ACCESS_GROUP Logger tilgang til skjemaobjekter.
Skjemaet ble endret SCHEMA_OBJECT_CHANGE_GROUP Logger CREATE, ALTEReller DROP operasjoner på skjemaer.
Tillatelse for skjemaobjekt ble kontrollert SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP Logger endringer i eierskap av skjemaobjekter.
Tillatelsen for skjemaobjekt ble endret SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP Logger GRANT, REVOKEeller DENY handlinger på skjemaobjekter.
Batchen ble fullført BATCH_COMPLETED_GROUP Denne hendelsen utløses når en satsvis tekst, lagret prosedyre eller transaksjonsbehandlingsoperasjon fullfører kjøringen.
Batch ble startet BATCH_STARTED_GROUP Denne hendelsen utløses når en satsvis tekst, lagret prosedyre eller transaksjonsbehandlingsoperasjon begynner å kjøre.
Revisjonen ble endret AUDIT_CHANGE_GROUP Denne hendelsen utløses hver gang en overvåking opprettes, endres eller slettes.
Bruker logget av DATABASE_LOGOUT_GROUP Denne hendelsen utløses når en databasebruker logger av en database.
Bruker logget inn SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP Angir at en kontohaver logget på en database.

Overvåkingshandlinger på databasenivå

I tillegg til handlingsgrupper kan du konfigurere individuelle revisjonshandlinger for å logge spesifikke databasehendelser:

Revisjon handling Description
SELECT Logger SELECT setninger på et angitt objekt.
INSERT Logger INSERT operasjoner på et angitt objekt.
UPDATE Logger UPDATE operasjoner på et angitt objekt.
DELETE Logger DELETE operasjoner på et angitt objekt.
EXECUTE Logger kjøring av lagrede prosedyrer eller funksjoner.
RECEIVE Logger RECEIVE operasjoner i Service Broker-køer.
REFERENCES Logger tillatelseskontroller som involverer sekundærnøkkelbetingelser.

Reduser revisjonsstøy med predikatfiltrering

For å filtrere hvilke hendelser som fanges opp, bruk det valgfrie predikatuttrykksfilteret .

Bruk predikatfiltrering for å redusere støy fra forventet, repeterende aktivitet, som automatiseringsidentiteter, tjenesteprinsipper eller planlagte jobber, uten å måtte deaktivere handlingsgruppene organisasjonen trenger for overholdelse eller undersøkelse.

  • Først når en hendelse matcher det konfigurerte predikatet, genereres SQL-revisjonslogghendelsen for den handlingen.
    • Filtrering skjer før hendelsen skrives, så utelukkede hendelser er ikke tilgjengelige senere for retrospektiv undersøkelse. Behandle predikatunntak som en bevisst revisjonspolicybeslutning, og gjennomgå det konfigurerte predikatet periodisk etter hvert som eierskap, tillatelser og risikoprofiler endres.
  • Predikatfiltrering evaluerer kun hendelser som allerede er konfigurert til å fanges opp av en aktivert revisjonsaksjonsgruppe eller handling.
    • Hvis den underliggende handlingsgruppen ikke er aktivert, genereres det ingen hendelse for predikatet å evaluere, og filteret har ingen effekt. For eksempel, for å filtrere SELECT setninger ved bruk av et predikat på statement feltet, må du først aktivere handlingsgruppen Batch Was Completed (BATCH_COMPLETED_GROUP).

Du kan konfigurere et predikatuttrykk ved å bruke Fabric-portalen eller REST API. For steg, se Konfigurer et predikatuttrykk.

Predikatuttrykkssyntaks

Predikatuttrykk bruker samme syntaks som klausulen <predicate_expression> i CREATE SERVER AUDIT (Transact-SQL), uten nøkkelordet WHERE :

<predicate_expression> ::=
    { [ NOT ] <predicate_factor>
    [ { AND | OR } [ NOT ] { <predicate_factor> } ] [ ,... n ] }

<predicate_factor> ::=
    event_field_name { = | <> | != | > | >= | < | <= | LIKE }
    { number | 'string' }
  • event_field_name tilsvarer en kolonne returnert av sys.fn_get_audit_file (Transact-SQL). Du kan bruke alle dokumenterte kolonner, bortsett fra file_name, audit_file_offset, og event_time.
  • action_id class_type og er strenger, men du kan bare sammenligne dem med numeriske verdier i et predikat.
  • Strengsammenligninger utfører ikke implisitt typekonvertering.
  • Maksimal uttrykkslengde er 3 000 tegn.
  • En tom streng betyr at ingen predikat brukes.

For eksempel, for å utelukke aktivitet generert av en kjent tjenesteprincipal eller automatiseringsidentitet, filtrer på server_principal_name. For å utelukke repeterende SELECT utsagn, filtrer på feltet statement : NOT statement LIKE 'SELECT %'.

Limitations

  • Ditt standard arbeidsområde støtter ikke SQL-revisjonslogger.
  • SQL-revisjonslogger støttes ikke for warehouse-snapshots.

Important

Revisjonslogger lagres i varelageret i OneLake. Hvis du sletter Warehouse, sletter du også de tilhørende revisjonsloggfilene og får ikke tilgang til dem lenger.
For å beholde revisjonslogger for overholdelse eller undersøkelse, kopier filene .XEL til et annet lagringssted før du sletter lageret.

Begrensninger for SQL Analytics-endepunkt

Følgende begrensninger gjelder ved revisjon av SQL-analyseendepunkter:

  • DML-operasjoner blir ikke fanget opp. Revisjonen registrerer ikke operasjoner som INSERT, UPDATE, , DELETEog MERGE fordi datamanipulering for Lakehouse-tabeller skjer gjennom Lakehouse-kjøretiden i stedet for gjennom SQL-analyse-endepunktet.
  • Direkte tilgang til revisjonsmappen støttes ikke for øyeblikket. Brukere kan ikke bla gjennom eller laste ned de underliggende .XEL revisjonsfilene fra Lakehouse-revisjonsmappen.

Du kan fortsatt spørre revisjonshendelser for SQL-analyseendepunkter ved å bruke T-SQL-funksjonen sys.fn_get_audit_file_v2.

Neste trinn

Konfigurere SQL-overvåkingslogger i Fabric datalager

Relatert innhold

  • Last updated on