Azure Synapse Analytics audit log format

Tip

Microsoft Fabric Data Warehouse is een relationeel warehouse op ondernemingsniveau op data lake-basis, met een architectuur die klaar is voor de toekomst, ingebouwde AI en nieuwe functies. Als u nieuw bent in gegevensopslag, begin dan met Fabric Data Warehouse. Bestaande dediceerde SQL-poolworkloads kunnen upgraden naar Fabric voor toegang tot nieuwe mogelijkheden in data science, realtime analyses en rapportage.

Azure Synapse Analytics auditing volgt databasegebeurtenissen en schrijft deze naar Azure Storage, of stuurt ze naar Azure Event Hubs of Azure Monitor Log Analytics voor downstream verwerking en analyse.

Naamgevingsconventies

Blob-audit

Auditlogs die zijn opgeslagen in Azure Blob Storage worden opgeslagen in een container genaamd sqldbauditlogs. De directoryhiërarchie binnen de container is <ServerName>/<DatabaseName>/<AuditName>/<Date>/. Het blobbestandsnaamformaat is <CreationTime>_<FileNumberInSession>.xel, waarbij CreationTime het UTC-formaat hh_mm_ss_ms wordt gebruikt en FileNumberInSession een lopende index is wanneer een sessie meerdere blobbestanden overspant.

Bijvoorbeeld, het volgende pad is geldig voor de database Database1 op de server Server1:

Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel

Event Hubs

Auditgebeurtenissen worden geschreven naar de namespace en event hub die voor auditing is geconfigureerd. Gebeurtenissen worden vastgelegd in het lichaam van Apache Avro-events en gebruiken JSON-opmaak met UTF-8-codering.

Log Analytics

Auditgebeurtenissen worden geschreven naar de AzureDiagnostics tabel in de geconfigureerde Log Analytics-werkruimte. Database-auditgebeurtenissen gebruiken de SQLSecurityAuditEvents categorie, en Microsoft support operations gebruikt de DevOpsOperationsAudit categorie. Voor zoekbegeleiding, zie Log Analytics-zoekopdrachten.

Velden van auditlogboeken

Naam (blob) Naam (Event Hubs/Log Analytics) Description Blobtype Event Hubs/Log Analytics-type
action_id action_id_s Id van de actie varchar(4) string
action_name action_name_s Naam van de actie N/A string
additional_information additional_information_s Alle aanvullende informatie over het evenement, opgeslagen als XML nvarchar(4000) string
affected_rows affected_rows_d Aantal rijen dat door de query wordt beïnvloed bigint int
application_name application_name_s Naam van de clientapplicatie nvarchar(128) string
audit_schema_version audit_schema_version_d Altijd 1 int int
class_type class_type_s Type controleerbare entiteit waarop de audit plaatsvindt varchar(2) string
class_type_desc class_type_description_s Beschrijving van de controleerbare entiteit waarop de audit plaatsvindt N/A string
client_ip client_ip_s Bron-IP van de clienttoepassing nvarchar(128) string
connection_id N/A Id van de verbinding op de server GUID N/A
data_sensitivity_information data_sensitivity_information_s Informatietypen en vertrouwelijkheidslabels die worden geretourneerd door de gecontroleerde query, op basis van de geclassificeerde kolommen in de database. Voor meer informatie, zie Azure Synapse Analytics security: Threat protection nvarchar(4000) string
database_name database_name_s De databasecontext waarin de actie plaatsvond sysname string
database_principal_id database_principal_id_d ID van de database gebruikerscontext waarin de actie wordt uitgevoerd int int
database_principal_name database_principal_name_s Naam van de database gebruikerscontext waarin de actie wordt uitgevoerd sysname string
duration_milliseconds duration_milliseconds_d Uitvoeringsduur van queries in milliseconden bigint int
event_time event_time_t Datum en tijd waarop de controlebare actie wordt uitgevoerd datetime2 datetime
host_name N/A Hostnaam van de cliënt string N/A
is_column_permission is_column_permission_s Vlag die aangeeft of dit een machtiging op kolomniveau is. 1 = waar, 0 = onwaar bit string
N/A is_server_level_audit_s Signaal geeft aan of deze audit op serverniveau plaatsvindt N/A string
object_ id object_id_d De id van de entiteit waarop de controle heeft plaatsgevonden. Dit omvat de : serverobjecten, databases, databaseobjecten en schema-objecten. 0 als de entiteit zelf de server is of als de audit niet op objectniveau wordt uitgevoerd int int
object_name object_name_s De naam van de entiteit waarop de controle heeft plaatsgevonden. Dit omvat de : serverobjecten, databases, databaseobjecten en schema-objecten. 0 als de entiteit zelf de server is of als de audit niet op objectniveau wordt uitgevoerd sysname string
obo_middle_tier_app_id obo_middle_tier_app_id_s De applicatie-id van de middle tier application die verbonden was met Azure Synapse Analytics via OBO access. varchar(120) string
permission_bitmask permission_bitmask_s Indien van toepassing, toont het de toestemmingen die zijn verleend, geweigerd of ingetrokken varbinary(16) string
response_rows response_rows_d Aantal rijen dat in de resultaatset werd teruggegeven bigint int
schema_name schema_name_s De schemacontext waarin de actie heeft plaatsgevonden. NULL voor audits die buiten een schema plaatsvinden sysname string
N/A securable_class_type_s Securabel object dat wordt gemapt naar het class_type geauditeerde object N/A string
sequence_group_id sequence_group_id_g Unieke identificatie varbinary GUID
sequence_number sequence_number_d Houdt de reeks records in één controlerecord bij die te groot was om in de schrijfbuffer voor controles te passen. Azure Synapse Analytics auditing slaat 4000 tekens aan data op voor tekenvelden in een auditrecord. Wanneer er meer dan 4000 tekens zijn, worden alle gegevens boven de eerste 4000 tekens afgekapt int int
server_instance_name server_instance_name_s Naam van de serverinstantie waar de audit plaatsvond sysname string
server_principal_id server_principal_id_d ID van de logincontext waarin de actie wordt uitgevoerd int int
server_principal_name server_principal_name_s Huidige login sysname string
server_principal_sid server_principal_sid_s Huidige login SID varbinary string
session_id session_id_d ID van de sessie waarop het evenement plaatsvond smallint int
session_server_principal_name session_server_principal_name_s Server principal voor sessie sysname string
statement statement_s T-SQL-instructie die is uitgevoerd (indien aanwezig) nvarchar(4000) string
succeeded succeeded_s Geeft aan of de actie die de gebeurtenis heeft geactiveerd, is geslaagd. Voor gebeurtenissen anders dan inloggen en batch wordt alleen gerapporteerd of de machtigingscontrole geslaagd of mislukt, niet de bewerking. 1 = succes, 0 = mislukt bit string
target_database_principal_id target_database_principal_id_d De databaseprincipal waarop de GRANT//DENYREVOKE bewerking wordt uitgevoerd. 0 indien niet van toepassing int int
target_database_principal_name target_database_principal_name_s Doelgebruiker van de handeling. NULL als dat niet van toepassing is string string
target_server_principal_id target_server_principal_id_d Serverprincipal waarop de GRANT/DENY/REVOKE bewerking wordt uitgevoerd. Geeft 0 terug als het niet van toepassing is int int
target_server_principal_name target_server_principal_name_s Doelinlog van actie. NULL als dat niet van toepassing is sysname string
target_server_principal_sid target_server_principal_sid_s SID van doelaanmelding. NULL als dat niet van toepassing is varbinary string
transaction_id transaction_id_d Not populated for Azure Synapse Analytics bigint int
user_defined_event_id user_defined_event_id_d Door de gebruiker gedefinieerde gebeurtenis-id doorgegeven als argument aan sp_audit_write. NULL voor systeemgebeurtenissen (standaard) en niet-nul voor door de gebruiker gedefinieerde gebeurtenis. Voor meer informatie, zie sp_audit_write (Transact-SQL) smallint int
user_defined_information user_defined_information_s Door de gebruiker gedefinieerde informatie werd als argument doorgegeven aan sp_audit_write. NULL voor systeemgebeurtenissen (standaard) en niet-nul voor door de gebruiker gedefinieerde gebeurtenissen. Voor meer informatie, zie sp_audit_write (Transact-SQL) nvarchar(4000) string

Verwante onderwerpen

  • Laatst bijgewerkt om