Azure Synapse Analytics audit log format

Wskazówka

Microsoft Fabric Data Warehouse to magazyn relacyjny w skali przedsiębiorstwa na podstawie bazy danych data lake z architekturą gotową do użycia w przyszłości, wbudowaną sztuczną inteligencją i nowymi funkcjami. Jeśli dopiero zaczynasz korzystać z magazynowania danych, zacznij od Fabric Data Warehouse. Istniejące obciążenia dedykowanej puli SQL mogą zostać zaktualizowane do Fabric, aby uzyskać dostęp do nowych możliwości w zakresie nauki o danych, analizy w czasie rzeczywistym i raportowania.

Azure Synapse Analytics audyt śledzi zdarzenia bazy danych i zapisuje je do Azure Storage lub wysyła do Azure Event Hubs lub Azure Monitor Log Analytics w celu dalszego przetwarzania i analizy.

Konwencje nazewnictwa

Audyt blob

Logi audytowe przechowywane w Azure Blob Storage są przechowywane w kontenerze o nazwie sqldbauditlogs. Hierarchia katalogów w kontenerze to <ServerName>/<DatabaseName>/<AuditName>/<Date>/. Format nazwy pliku blob to <CreationTime>_<FileNumberInSession>.xel, gdzie CreationTime używa formatu UTC hh_mm_ss_ms , a FileNumberInSession jest indeksem działającym, gdy sesja obejmuje wiele plików blob.

Na przykład następująca ścieżka jest ważna dla bazy Database1 danych na serwerze Server1:

Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel

Centra zdarzeń

Zdarzenia audytowe są zapisywane w przestrzeni nazw i centrum zdarzeń skonfigurowanych pod kątem audytu. Zdarzenia są rejestrowane w ciele zdarzeń Apache Avro i używają formatowania JSON z kodowaniem UTF-8.

Analiza dzienników

Zdarzenia audytowe są zapisywane do tabeli AzureDiagnostics w skonfigurowanym workspace Log Analytics. Zdarzenia audytu bazy danych używają tej kategoriiSQLSecurityAuditEvents, a operacje wsparcia Microsoft korzystają z tej DevOpsOperationsAudit kategorii. Aby uzyskać wskazówki dotyczące zapytań, zobacz zapytania Log Analytics.

Pola dziennika audytu

Nazwa (blob) Nazwa (Event Hubs/Log Analytics) Description Typ obiektu blob Event Hubs/Log Analytics typu
action_id action_id_s Identyfikator akcji varchar(4) string
action_name action_name_s Nazwa akcji N/A string
additional_information additional_information_s Wszelkie dodatkowe informacje o wydarzeniu, zapisane w formie XML nvarchar(4000) string
affected_rows affected_rows_d Liczba wierszy objętych zapytaniem bigint int
application_name application_name_s Nazwa aplikacji klienckiej nvarchar(128) string
audit_schema_version audit_schema_version_d Zawsze 1 int int
class_type class_type_s Typ podmiotu podlegającego audytowi, na którym przeprowadza się audyt varchar(2) string
class_type_desc class_type_description_s Opis podmiotu podlegającego audytowi, na którym przeprowadza się audyt N/A string
client_ip client_ip_s Źródłowy adres IP aplikacji klienckiej nvarchar(128) string
connection_id N/A Identyfikator połączenia na serwerze GUID N/A
data_sensitivity_information data_sensitivity_information_s Typy informacji i etykiety poufności zwracane przez zapytanie poddane audytowi na podstawie sklasyfikowanych kolumn w bazie danych. Więcej informacji można znaleźć w Azure Synapse Analytics security: Threat protection nvarchar(4000) string
database_name database_name_s Kontekst bazy danych, w którym dokonano działania sysname string
database_principal_id database_principal_id_d Identyfikator kontekstu użytkownika bazy danych, w którym wykonywana jest akcja int int
database_principal_name database_principal_name_s Nazwa kontekstu użytkownika bazy danych, w którym wykonywana jest akcja sysname string
duration_milliseconds duration_milliseconds_d Czas trwania wykonywania zapytania w milisekundach bigint int
event_time event_time_t Data i godzina wszczęcia działania podlegającego audytowi datetime2 datetime
host_name N/A Nazwa hosta klienta string N/A
is_column_permission is_column_permission_s Flaga wskazująca, czy jest to uprawnienie na poziomie kolumny. 1 = prawda, 0 = fałsz bit string
N/A is_server_level_audit_s Flaga wskazująca, czy ten audyt odbywa się na poziomie serwera N/A string
object_ id object_id_d Identyfikator jednostki, na której wystąpiła inspekcja. Obejmuje to: obiekty serwera, bazy danych, obiekty bazy danych oraz obiekty schematu. 0, jeśli jednostką jest sam serwer lub jeśli audyt nie jest wykonywany na poziomie obiektu int int
object_name object_name_s Nazwa jednostki, na której wystąpiła inspekcja. Obejmuje to: obiekty serwera, bazy danych, obiekty bazy danych oraz obiekty schematu. 0, jeśli jednostką jest sam serwer lub jeśli audyt nie jest wykonywany na poziomie obiektu sysname string
obo_middle_tier_app_id obo_middle_tier_app_id_s ID aplikacji średniej warstwy, która łączyła się z Azure Synapse Analytics za pomocą dostępu OBO. varchar(120) string
permission_bitmask permission_bitmask_s Gdy jest to możliwe, pokazuje uprawnienia, które zostały przyznane, odrzucone lub cofnięte varbinary(16) string
response_rows response_rows_d Liczba wierszy zwracanych w zbiorze wyników bigint int
schema_name schema_name_s Kontekst schematu, w którym wystąpiła akcja. NULL dla audytów zachodzących poza schematem sysname string
N/A securable_class_type_s Obiekt zabezpieczony, który odwzorowuje się na audytowany class_type obiekt N/A string
sequence_group_id sequence_group_id_g Unikatowy identyfikator varbinary GUID
sequence_number sequence_number_d Śledzi sekwencję rekordów w ramach pojedynczego rekordu audytu, który był zbyt duży, aby zmieścić się w buforze zapisu podczas audytów. Azure Synapse Analytics auditing przechowuje 4000 znaków danych dla pól znaków w rekordzie audytu. Gdy liczba znaków przekracza 4000, wszelkie dane przekraczające pierwsze 4000 znaków zostaną obcięte int int
server_instance_name server_instance_name_s Nazwa instancji serwera, w której przeprowadzono audyt sysname string
server_principal_id server_principal_id_d ID kontekstu logowania, w którym wykonywana jest akcja int int
server_principal_name server_principal_name_s Aktualne logowanie sysname string
server_principal_sid server_principal_sid_s Aktualny SID logowania varbinary string
session_id session_id_d Identyfikacja sesji, podczas której zdarzenie miało miejsce smallint int
session_server_principal_name session_server_principal_name_s Serwer Principal dla sesji sysname string
statement statement_s Wykonano polecenie T-SQL (jeśli w ogóle istnieje) nvarchar(4000) string
succeeded succeeded_s Wskazuje, czy akcja, która wyzwoliła zdarzenie powiodło się. W przypadku innych zdarzeń niż login i batch raportuje się to tylko o tym, czy sprawdzenie uprawnień zakończyło się sukcesem czy nie, a nie o samej operacji. 1 = sukces, 0 = porażka bit string
target_database_principal_id target_database_principal_id_d Na zasadzie bazy danych, na której wykonywana jest operacjaGRANT//DENYREVOKE. 0, jeśli nie jest to możliwe int int
target_database_principal_name target_database_principal_name_s Docelowy użytkownik działania. NULL jeśli nie ma zastosowania string string
target_server_principal_id target_server_principal_id_d Podmiot zabezpieczeń serwera, na podstawie którego jest wykonywana GRANT/DENY/REVOKE operacja. Zwraca 0, jeśli nie ma zastosowania int int
target_server_principal_name target_server_principal_name_s Docelowe logowanie akcji. NULL jeśli nie ma zastosowania sysname string
target_server_principal_sid target_server_principal_sid_s Identyfikator SID logowania docelowego. NULL jeśli nie ma zastosowania varbinary string
transaction_id transaction_id_d Not populated for Azure Synapse Analytics bigint int
user_defined_event_id user_defined_event_id_d Identyfikator zdarzenia zdefiniowanego przez użytkownika został przekazany jako argument do sp_audit_writeelementu . NULL dla zdarzeń systemowych (ustawienie domyślne) i niezerowe dla zdarzenia zdefiniowanego przez użytkownika. Więcej informacji można znaleźć w sp_audit_write (Transact-SQL) smallint int
user_defined_information user_defined_information_s Informacja zdefiniowana przez użytkownika przekazywana jako argument do sp_audit_write. NULL dla zdarzeń systemowych (domyślnie) i niezerowe dla zdarzeń zdefiniowanych przez użytkownika. Więcej informacji można znaleźć w sp_audit_write (Transact-SQL) nvarchar(4000) string

Treści powiązane

  • Ostatnia aktualizacja o