Auditing by using managed identity in Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse is een relationeel warehouse op ondernemingsniveau op data lake-basis, met een architectuur die klaar is voor de toekomst, ingebouwde AI en nieuwe functies. Als u nieuw bent in gegevensopslag, begin dan met Fabric Data Warehouse. Bestaande dediceerde SQL-poolworkloads kunnen upgraden naar Fabric voor toegang tot nieuwe mogelijkheden in data science, realtime analyses en rapportage.

Stel auditing in om een opslagaccount te gebruiken met twee authenticatiemethoden:

  • Beheerde identiteit
  • Toegangssleutels voor opslag

Beheerde identiteit kan een door het systeem toegewezen beheerde identiteit (SMI) of door de gebruiker toegewezen beheerde identiteit (UMI) zijn.

Om het schrijven van auditlogs naar een opslagaccount te configureren, ga je naar het Azure-portaal en selecteer je je server. Selecteer Opslag in het menu Controle . Selecteer het Azure opslagaccount waar logs worden opgeslagen.

De gebruikte identiteit is standaard de primaire gebruikersidentiteit die aan de server is toegewezen. Als er geen gebruikersidentiteit is, maakt de server een door het systeem toegewezen beheerde identiteit en gebruikt deze voor verificatie.

Selecteer de bewaarperiode door de geavanceerde eigenschappen te openen. Vervolgens selecteer Opslaan. Logboeken die ouder zijn dan de bewaarperiode, worden verwijderd.

Note

Zie de sectie Door het systeem toegekende beheerde identiteit configureren voor Azure Synapse Analytics-auditing verderop in dit artikel voor het instellen van auditing op basis van beheerde identiteiten in Azure Synapse Analytics.

Door de gebruiker toegewezen beheerde identiteit

UMI geeft je flexibiliteit om je eigen UMI te creëren en te onderhouden voor een bepaalde tenant. Je beheert UMI, in tegenstelling tot een door het systeem toegewezen beheerde identiteit, die per server uniek is gedefinieerd en door het systeem wordt toegewezen.

Configureer de door de gebruiker toegewezen beheerde identiteit voor auditing

Voordat je auditing kunt instellen om logs naar je opslagaccount te sturen, heeft de beheerde identiteit die aan de server is toegewezen de rol Storage Blob Data Contributor nodig. Deze opdracht is vereist als je auditing configureert met PowerShell, de Azure CLI, REST API of ARM-sjablonen. Het Azure-portaal wijst de rol automatisch toe wanneer je auditing via het portaal configureert, dus je hoeft deze stappen niet te volgen als je het portaal gebruikt.

  1. Ga naar de Azure-portal.
  2. Maak een door de gebruiker toegewezen beheerde identiteit aan als je die nog niet hebt. Zie een door de gebruiker toegewezen beheerde identiteit maken voor meer informatie.
  3. Ga naar uw opslagaccount dat u wilt configureren voor controle.
  4. Selecteer het menu Toegangsbeheer (IAM).
  5. Selecteer Toevoegen>Roltoewijzing toevoegen.
  6. Zoek in het tabblad Rol naar en selecteer Storage Blob Data Contributor. Selecteer Volgende.
  7. Selecteer op het tabblad Leden de optie Beheerde identiteit in de sectie Toegang toewijzen aan en selecteer vervolgens leden. Je kunt de Managed identity selecteren die je voor je server hebt aangemaakt.
  8. Selecteer Beoordelen en toewijzen.

Zie Azure-rollen toewijzen met behulp van de portal voor meer informatie.

Gebruik de volgende instructies om auditing te configureren met een door de gebruiker toegewezen beheerde identiteit.

  1. Ga naar het menu Identiteit voor uw server. Voeg in de sectie Door de gebruiker toegewezen beheerde identiteit de beheerde identiteit toe .
  2. Selecteer de toegevoegde beheerde identiteit als primaire identiteit voor je server.
  3. Ga naar het menu Controle voor de server. Selecteer Beheerde identiteit als opslagverificatietype bij het configureren van de opslag voor uw server.

Note

Wanneer je auditing configureert met een beheerde identiteit, kan het kopiëren van de database naar een nieuwe server of het aanmaken van een geo-replica de auditlogging breken. Deze voorwaarde ontstaat omdat de nieuwe server een andere beheerde identiteit heeft, die mogelijk geen toegang heeft tot het auditopslagaccount. Zorg ervoor dat de identiteit van de nieuwe server de juiste rechten heeft om auditcontinuïteit te behouden.

Door het systeem toegewezen beheerde identiteit configureren voor Azure Synapse Analytics-controle

Je kunt geen UMI-gebaseerde authenticatie gebruiken voor een opslagaccount voor controledoeleinden. Alleen door het systeem toegewezen beheerde identiteit (SMI) kan worden gebruikt voor Azure Synapse Analytics. Om SMI-authenticatie te laten werken, moet de beheerde identiteit de rol Storage Blob Data Contributor hebben toegewezen in de Access Control-instellingen van het opslagaccount. Deze rol wordt automatisch toegevoegd als je het Azure-portaal gebruikt om auditing te configureren.

In het Azure-portaal voor Azure Synapse Analytics is er geen optie om expliciet SAS-sleutel of SMI-authenticatie te kiezen.

  • Als het opslagaccount achter een VNet of firewall zit, stelt het systeem auditing automatisch in door SMI-authenticatie te gebruiken.

  • Als het opslagaccount niet achter een VNet of firewall zit, stelt het systeem automatisch auditing in door gebruik te maken van SAS-sleutelgebaseerde authenticatie. Je kunt echter geen managed identity gebruiken als het opslagaccount niet achter een VNet of firewall zit.

Als u het gebruik van SMI-verificatie wilt afdwingen, ongeacht of het opslagaccount zich achter een VNet of firewall bevindt, gebruikt u als volgt REST API of PowerShell:

Verwante onderwerpen

  • Laatst bijgewerkt om