Delen via

Microsoft.Sql servers/databases/auditingSettings 2017-03-01-preview

  • Artikel

Bicep-resourcedefinitie

Het resourcetype servers/databases/auditingSettings kan worden geïmplementeerd met bewerkingen die zijn gericht op:

Zie wijzigingenlogboek voor een lijst met gewijzigde eigenschappen in elke API-versie.

Resource-indeling

Als u een Resource Microsoft.Sql/servers/databases/auditingSettings wilt maken, voegt u de volgende Bicep toe aan uw sjabloon.

resource symbolicname 'Microsoft.Sql/servers/databases/auditingSettings@2017-03-01-preview' = {
  name: 'default'
  parent: resourceSymbolicName
  properties: {
    auditActionsAndGroups: [
      'string'
    ]
    isAzureMonitorTargetEnabled: bool
    isStorageSecondaryKeyInUse: bool
    queueDelayMs: int
    retentionDays: int
    state: 'string'
    storageAccountAccessKey: 'string'
    storageAccountSubscriptionId: 'string'
    storageEndpoint: 'string'
  }
}

Eigenschapswaarden

servers/databases/auditingSettings

Naam Description Waarde
naam De resourcenaam

Meer informatie over het instellen van namen en typen voor onderliggende resources in Bicep.		 'standaard'
Bovenliggende In Bicep kunt u de bovenliggende resource voor een onderliggende resource opgeven. U hoeft deze eigenschap alleen toe te voegen wanneer de onderliggende resource buiten de bovenliggende resource wordt gedeclareerd.

Zie Onderliggende resource buiten bovenliggende resource voor meer informatie.		 Symbolische naam voor resource van het type: databases
properties Resource-eigenschappen. DatabaseBlobAuditingPolicyProperties

DatabaseBlobAuditingPolicyProperties

Naam Description Waarde
auditActionsAndGroups Hiermee geeft u de Actions-Groups en acties te controleren.

De aanbevolen set actiegroepen die moet worden gebruikt, is de volgende combinatie: hiermee worden alle query's en opgeslagen procedures gecontroleerd die worden uitgevoerd op de database, evenals geslaagde en mislukte aanmeldingen:

BATCH_COMPLETED_GROUP,
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP,
FAILED_DATABASE_AUTHENTICATION_GROUP.

Deze bovenstaande combinatie is ook de set die standaard wordt geconfigureerd bij het inschakelen van controle vanuit de Azure Portal.

De ondersteunde actiegroepen die moeten worden gecontroleerd, zijn (opmerking: kies alleen specifieke groepen die voldoen aan uw controlebehoeften. Het gebruik van onnodige groepen kan leiden tot zeer grote hoeveelheden controlerecords:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP
BACKUP_RESTORE_GROUP
DATABASE_LOGOUT_GROUP
DATABASE_OBJECT_CHANGE_GROUP
DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP
DATABASE_OBJECT_PERMISSION_CHANGE_GROUP
DATABASE_OPERATION_GROUP
DATABASE_PERMISSION_CHANGE_GROUP
DATABASE_PRINCIPAL_CHANGE_GROUP
DATABASE_PRINCIPAL_IMPERSONATION_GROUP
DATABASE_ROLE_MEMBER_CHANGE_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP
SCHEMA_OBJECT_ACCESS_GROUP
SCHEMA_OBJECT_CHANGE_GROUP
SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP
SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
USER_CHANGE_PASSWORD_GROUP
BATCH_STARTED_GROUP
BATCH_COMPLETED_GROUP
DBCC_GROUP
DATABASE_OWNERSHIP_CHANGE_GROUP
DATABASE_CHANGE_GROUP

Dit zijn groepen die betrekking hebben op alle SQL-instructies en opgeslagen procedures die worden uitgevoerd op basis van de database en mogen niet worden gebruikt in combinatie met andere groepen, omdat dit resulteert in dubbele auditlogboeken.

Zie Actiegroepen voor controle op databaseniveau voor meer informatie.

Voor databasecontrolebeleid kunnen ook specifieke acties worden opgegeven (houd er rekening mee dat acties niet kunnen worden opgegeven voor servercontrolebeleid). De ondersteunde acties om te controleren zijn:
SELECT
UPDATE
INSERT
DELETE
UITVOEREN
ONTVANGEN
REFERENTIES

De algemene vorm voor het definiëren van een actie die moet worden gecontroleerd, is:
{action} ON {object} BY {principal}

Houd er rekening mee dat {object} in de bovenstaande indeling kan verwijzen naar een object zoals een tabel, weergave of opgeslagen procedure, of een hele database of schema. Voor de laatste gevallen worden respectievelijk de formulieren DATABASE::{db_name} en SCHEMA::{schema_name} gebruikt.

Bijvoorbeeld:
SELECT on dbo.myTable by public
SELECT on DATABASE::myDatabase by public
SELECT on SCHEMA::mySchema by public

Zie Auditacties op databaseniveau voor meer informatie		 tekenreeks[]
isAzureMonitorTargetEnabled Hiermee geeft u op of controlegebeurtenissen worden verzonden naar Azure Monitor.
Als u de gebeurtenissen naar Azure Monitor wilt verzenden, geeft u 'state' op als 'Enabled' en 'isAzureMonitorTargetEnabled' als true.

Wanneer u rest API gebruikt om controle te configureren, moeten ook diagnostische instellingen met de categorie SQLSecurityAuditEvents voor diagnostische logboeken in de database worden gemaakt.
Houd er rekening mee dat u voor controle op serverniveau de hoofddatabase moet gebruiken als {databaseName}.

URI-indeling voor diagnostische instellingen:
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Zie Diagnostische instellingen REST API voor meer informatie
of Diagnostische instellingen PowerShell		 booleaans
isStorageSecondaryKeyInUse Hiermee geeft u op of de waarde storageAccountAccessKey de secundaire sleutel van de opslag is. booleaans
queueDelayMs Hiermee geeft u de hoeveelheid tijd in milliseconden op die kan verstrijken voordat controleacties worden gedwongen te worden verwerkt.
De standaard minimumwaarde is 1000 (1 seconde). Het maximum is 2.147.483.647.		 int
retentionDays Hiermee geeft u het aantal dagen op dat moet worden bewaard in de auditlogboeken in het opslagaccount. int
staat Hiermee geeft u de status van het beleid. Als de status Ingeschakeld is, zijn storageEndpoint of isAzureMonitorTargetEnabled vereist. 'Uitgeschakeld'
Ingeschakeld (vereist)
storageAccountAccessKey Hiermee geeft u de id-sleutel van het controleopslagaccount op.
Als de status Ingeschakeld is en storageEndpoint is opgegeven, wordt bij het niet opgeven van de storageAccountAccessKey een door het SQL Server-systeem toegewezen beheerde identiteit gebruikt voor toegang tot de opslag.
Vereisten voor het gebruik van verificatie van beheerde identiteiten:
1. Wijs SQL Server een door het systeem toegewezen beheerde identiteit toe in Azure Active Directory (AAD).
2. Ververleent SQL Server identiteit toegang tot het opslagaccount door de RBAC-rol Inzender voor opslagblobgegevens toe te voegen aan de serveridentiteit.
Zie Controle op opslag met behulp van verificatie van beheerde identiteiten voor meer informatie		 tekenreeks
storageAccountSubscriptionId Hiermee geeft u de abonnements-id voor blob-opslag op. tekenreeks

Beperkingen:
Minimale lengte = 36
Maximale lengte = 36
Patroon = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$
storageEndpoint Hiermee geeft u het eindpunt van de blob-opslag (bijvoorbeeld https://MyAccount.blob.core.windows.net). Als de status Ingeschakeld is, is storageEndpoint of isAzureMonitorTargetEnabled vereist. tekenreeks

Resourcedefinitie van ARM-sjabloon

Het resourcetype servers/databases/auditingSettings kan worden geïmplementeerd met bewerkingen die zijn gericht op:

Zie wijzigingenlogboek voor een lijst met gewijzigde eigenschappen in elke API-versie.

Resource-indeling

Als u een resource Microsoft.Sql/servers/databases/auditingSettings wilt maken, voegt u de volgende JSON toe aan uw sjabloon.

{
  "type": "Microsoft.Sql/servers/databases/auditingSettings",
  "apiVersion": "2017-03-01-preview",
  "name": "default",
  "properties": {
    "auditActionsAndGroups": [ "string" ],
    "isAzureMonitorTargetEnabled": "bool",
    "isStorageSecondaryKeyInUse": "bool",
    "queueDelayMs": "int",
    "retentionDays": "int",
    "state": "string",
    "storageAccountAccessKey": "string",
    "storageAccountSubscriptionId": "string",
    "storageEndpoint": "string"
  }
}

Eigenschapswaarden

servers/databases/auditingSettings

Naam Description Waarde
type Het resourcetype 'Microsoft.Sql/servers/databases/auditingSettings'
apiVersion De resource-API-versie '2017-03-01-preview'
naam De resourcenaam

Meer informatie over het instellen van namen en typen voor onderliggende resources in JSON ARM-sjablonen.		 'default'
properties Resource-eigenschappen. DatabaseBlobAuditingPolicyProperties

DatabaseBlobAuditingPolicyProperties

Naam Description Waarde
auditActionsAndGroups Hiermee geeft u de Actions-Groups en acties te controleren.

De aanbevolen set actiegroepen die moet worden gebruikt, is de volgende combinatie: hiermee worden alle query's en opgeslagen procedures gecontroleerd die worden uitgevoerd op de database, evenals geslaagde en mislukte aanmeldingen:

BATCH_COMPLETED_GROUP,
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP,
FAILED_DATABASE_AUTHENTICATION_GROUP.

Deze bovenstaande combinatie is ook de set die standaard wordt geconfigureerd bij het inschakelen van controle vanuit de Azure Portal.

De ondersteunde actiegroepen die moeten worden gecontroleerd, zijn (opmerking: kies alleen specifieke groepen die voldoen aan uw controlebehoeften. Het gebruik van onnodige groepen kan leiden tot zeer grote hoeveelheden controlerecords:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP
BACKUP_RESTORE_GROUP
DATABASE_LOGOUT_GROUP
DATABASE_OBJECT_CHANGE_GROUP
DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP
DATABASE_OBJECT_PERMISSION_CHANGE_GROUP
DATABASE_OPERATION_GROUP
DATABASE_PERMISSION_CHANGE_GROUP
DATABASE_PRINCIPAL_CHANGE_GROUP
DATABASE_PRINCIPAL_IMPERSONATION_GROUP
DATABASE_ROLE_MEMBER_CHANGE_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP
SCHEMA_OBJECT_ACCESS_GROUP
SCHEMA_OBJECT_CHANGE_GROUP
SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP
SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
USER_CHANGE_PASSWORD_GROUP
BATCH_STARTED_GROUP
BATCH_COMPLETED_GROUP
DBCC_GROUP
DATABASE_OWNERSHIP_CHANGE_GROUP
DATABASE_CHANGE_GROUP

Dit zijn groepen die betrekking hebben op alle SQL-instructies en opgeslagen procedures die worden uitgevoerd op basis van de database en mogen niet worden gebruikt in combinatie met andere groepen, omdat dit resulteert in dubbele auditlogboeken.

Zie Actiegroepen voor controle op databaseniveau voor meer informatie.

Voor databasecontrolebeleid kunnen ook specifieke acties worden opgegeven (houd er rekening mee dat acties niet kunnen worden opgegeven voor servercontrolebeleid). De ondersteunde acties om te controleren zijn:
SELECT
UPDATE
INSERT
DELETE
UITVOEREN
ONTVANGEN
REFERENTIES

De algemene vorm voor het definiëren van een actie die moet worden gecontroleerd, is:
{action} ON {object} BY {principal}

Houd er rekening mee dat {object} in de bovenstaande indeling kan verwijzen naar een object zoals een tabel, weergave of opgeslagen procedure, of een hele database of schema. Voor de laatste gevallen worden respectievelijk de formulieren DATABASE::{db_name} en SCHEMA::{schema_name} gebruikt.

Bijvoorbeeld:
SELECT on dbo.myTable by public
SELECT on DATABASE::myDatabase by public
SELECT on SCHEMA::mySchema by public

Zie Auditacties op databaseniveau voor meer informatie		 tekenreeks[]
isAzureMonitorTargetEnabled Hiermee geeft u op of controlegebeurtenissen worden verzonden naar Azure Monitor.
Als u de gebeurtenissen naar Azure Monitor wilt verzenden, geeft u 'state' op als 'Enabled' en 'isAzureMonitorTargetEnabled' als true.

Wanneer u REST API gebruikt om controle te configureren, moeten ook diagnostische instellingen met de categorie SQLSecurityAuditEvents voor diagnostische logboeken voor de database worden gemaakt.
Houd er rekening mee dat u voor controle op serverniveau de hoofddatabase moet gebruiken als {databaseName}.

URI-indeling voor diagnostische instellingen:
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Zie Diagnostische instellingen REST API voor meer informatie
of diagnostische instellingen PowerShell		 booleaans
isStorageSecondaryKeyInUse Hiermee geeft u op of de waarde storageAccountAccessKey de secundaire sleutel van de opslag is. booleaans
queueDelayMs Hiermee geeft u de hoeveelheid tijd in milliseconden op die kan verstrijken voordat controleacties worden gedwongen te worden verwerkt.
De standaard minimumwaarde is 1000 (1 seconde). Het maximum is 2.147.483.647.		 int
retentionDays Hiermee geeft u het aantal dagen op dat moet worden bewaard in de auditlogboeken in het opslagaccount. int
staat Hiermee geeft u de status van het beleid. Als de status Ingeschakeld is, zijn storageEndpoint of isAzureMonitorTargetEnabled vereist. 'Uitgeschakeld'
Ingeschakeld (vereist)
storageAccountAccessKey Hiermee geeft u de id-sleutel van het controleopslagaccount.
Als de status Ingeschakeld is en storageEndpoint is opgegeven, wordt bij het niet opgeven van de storageAccountAccessKey een door het SQL Server-systeem toegewezen beheerde identiteit gebruikt voor toegang tot de opslag.
Vereisten voor het gebruik van verificatie van beheerde identiteit:
1. Wijs SQL Server een door het systeem toegewezen beheerde identiteit toe in Azure Active Directory (AAD).
2. Ververleent SQL Server identiteit toegang tot het opslagaccount door de RBAC-rol Inzender voor opslagblobgegevens toe te voegen aan de serveridentiteit.
Zie Controle naar opslag met behulp van verificatie van beheerde identiteit voor meer informatie		 tekenreeks
storageAccountSubscriptionId Hiermee geeft u de abonnements-id voor blobopslag op. tekenreeks

Beperkingen:
Minimale lengte = 36
Maximale lengte = 36
Patroon = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$
storageEndpoint Hiermee geeft u het eindpunt voor blobopslag op (bijvoorbeeld https://MyAccount.blob.core.windows.net). Als de status Ingeschakeld is, is storageEndpoint of isAzureMonitorTargetEnabled vereist. tekenreeks

Terraform-resourcedefinitie (AzAPI-provider)

Het resourcetype servers/databases/auditingSettings kan worden geïmplementeerd met bewerkingen die zijn gericht op:

  • Resourcegroepen

Zie wijzigingenlogboek voor een lijst met gewijzigde eigenschappen in elke API-versie.

Resource-indeling

Als u een Resource Microsoft.Sql/servers/databases/auditingSettings wilt maken, voegt u de volgende Terraform toe aan uw sjabloon.

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.Sql/servers/databases/auditingSettings@2017-03-01-preview"
  name = "default"
  parent_id = "string"
  body = jsonencode({
    properties = {
      auditActionsAndGroups = [
        "string"
      ]
      isAzureMonitorTargetEnabled = bool
      isStorageSecondaryKeyInUse = bool
      queueDelayMs = int
      retentionDays = int
      state = "string"
      storageAccountAccessKey = "string"
      storageAccountSubscriptionId = "string"
      storageEndpoint = "string"
    }
  })
}

Eigenschapswaarden

servers/databases/auditingSettings

Naam Description Waarde
type Het resourcetype "Microsoft.Sql/servers/databases/auditingSettings@2017-03-01-preview"
naam De resourcenaam "standaard"
parent_id De id van de resource die het bovenliggende item voor deze resource is. Id voor resource van type: databases
properties Resource-eigenschappen. DatabaseBlobAuditingPolicyProperties

DatabaseBlobAuditingPolicyProperties

Naam Description Waarde
auditActionsAndGroups Hiermee geeft u de Actions-Groups en acties te controleren.

De aanbevolen set actiegroepen die moet worden gebruikt, is de volgende combinatie: hiermee worden alle query's en opgeslagen procedures gecontroleerd die worden uitgevoerd op de database, evenals geslaagde en mislukte aanmeldingen:

BATCH_COMPLETED_GROUP,
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP,
FAILED_DATABASE_AUTHENTICATION_GROUP.

Deze bovenstaande combinatie is ook de set die standaard wordt geconfigureerd bij het inschakelen van controle vanuit de Azure Portal.

De ondersteunde actiegroepen die moeten worden gecontroleerd, zijn (opmerking: kies alleen specifieke groepen die voldoen aan uw controlebehoeften. Het gebruik van onnodige groepen kan leiden tot zeer grote hoeveelheden controlerecords:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP
BACKUP_RESTORE_GROUP
DATABASE_LOGOUT_GROUP
DATABASE_OBJECT_CHANGE_GROUP
DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP
DATABASE_OBJECT_PERMISSION_CHANGE_GROUP
DATABASE_OPERATION_GROUP
DATABASE_PERMISSION_CHANGE_GROUP
DATABASE_PRINCIPAL_CHANGE_GROUP
DATABASE_PRINCIPAL_IMPERSONATION_GROUP
DATABASE_ROLE_MEMBER_CHANGE_GROUP
FAILED_DATABASE_AUTHENTICATION_GROUP
SCHEMA_OBJECT_ACCESS_GROUP
SCHEMA_OBJECT_CHANGE_GROUP
SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP
SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP
SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
USER_CHANGE_PASSWORD_GROUP
BATCH_STARTED_GROUP
BATCH_COMPLETED_GROUP
DBCC_GROUP
DATABASE_OWNERSHIP_CHANGE_GROUP
DATABASE_CHANGE_GROUP

Dit zijn groepen die betrekking hebben op alle SQL-instructies en opgeslagen procedures die worden uitgevoerd op basis van de database en mogen niet worden gebruikt in combinatie met andere groepen, omdat dit resulteert in dubbele auditlogboeken.

Zie Actiegroepen voor controle op databaseniveau voor meer informatie.

Voor databasecontrolebeleid kunnen ook specifieke acties worden opgegeven (houd er rekening mee dat acties niet kunnen worden opgegeven voor servercontrolebeleid). De ondersteunde acties om te controleren zijn:
SELECT
UPDATE
INSERT
DELETE
UITVOEREN
ONTVANGEN
REFERENTIES

De algemene vorm voor het definiëren van een actie die moet worden gecontroleerd, is:
{action} ON {object} BY {principal}

Houd er rekening mee dat {object} in de bovenstaande indeling kan verwijzen naar een object zoals een tabel, weergave of opgeslagen procedure, of een hele database of schema. Voor de laatste gevallen worden respectievelijk de formulieren DATABASE::{db_name} en SCHEMA::{schema_name} gebruikt.

Bijvoorbeeld:
SELECT on dbo.myTable by public
SELECT on DATABASE::myDatabase by public
SELECT on SCHEMA::mySchema by public

Zie Auditacties op databaseniveau voor meer informatie		 tekenreeks[]
isAzureMonitorTargetEnabled Hiermee geeft u op of controlegebeurtenissen worden verzonden naar Azure Monitor.
Als u de gebeurtenissen naar Azure Monitor wilt verzenden, geeft u 'state' op als 'Enabled' en 'isAzureMonitorTargetEnabled' als true.

Wanneer u REST API gebruikt om controle te configureren, moeten ook diagnostische instellingen met de categorie SQLSecurityAuditEvents voor diagnostische logboeken voor de database worden gemaakt.
Houd er rekening mee dat u voor controle op serverniveau de hoofddatabase moet gebruiken als {databaseName}.

URI-indeling voor diagnostische instellingen:
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Zie Diagnostische instellingen REST API voor meer informatie
of diagnostische instellingen PowerShell		 booleaans
isStorageSecondaryKeyInUse Hiermee geeft u op of de waarde storageAccountAccessKey de secundaire sleutel van de opslag is. booleaans
queueDelayMs Hiermee geeft u de hoeveelheid tijd in milliseconden op die kan verstrijken voordat controleacties worden gedwongen te worden verwerkt.
De standaard minimumwaarde is 1000 (1 seconde). Het maximum is 2.147.483.647.		 int
retentionDays Hiermee geeft u het aantal dagen op dat moet worden bewaard in de auditlogboeken in het opslagaccount. int
staat Hiermee geeft u de status van het beleid. Als de status Ingeschakeld is, zijn storageEndpoint of isAzureMonitorTargetEnabled vereist. "Uitgeschakeld"
'Ingeschakeld' (vereist)
storageAccountAccessKey Hiermee geeft u de id-sleutel van het controleopslagaccount.
Als de status Ingeschakeld is en storageEndpoint is opgegeven, wordt bij het niet opgeven van de storageAccountAccessKey een door het SQL Server-systeem toegewezen beheerde identiteit gebruikt voor toegang tot de opslag.
Vereisten voor het gebruik van verificatie van beheerde identiteit:
1. Wijs SQL Server een door het systeem toegewezen beheerde identiteit toe in Azure Active Directory (AAD).
2. Ververleent SQL Server identiteit toegang tot het opslagaccount door de RBAC-rol Inzender voor opslagblobgegevens toe te voegen aan de serveridentiteit.
Zie Controle naar opslag met behulp van verificatie van beheerde identiteit voor meer informatie		 tekenreeks
storageAccountSubscriptionId Hiermee geeft u de abonnements-id voor blobopslag op. tekenreeks

Beperkingen:
Minimale lengte = 36
Maximale lengte = 36
Patroon = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$
storageEndpoint Hiermee geeft u het eindpunt voor blobopslag op (bijvoorbeeld https://MyAccount.blob.core.windows.net). Als de status Ingeschakeld is, is storageEndpoint of isAzureMonitorTargetEnabled vereist. tekenreeks