Zapisz logi audytowe na koncie pamięci masowej chronionym przez sieć wirtualną i zaporę w Azure Synapse Analytics

Wskazówka

Microsoft Fabric Data Warehouse to magazyn relacyjny w skali przedsiębiorstwa na podstawie bazy danych data lake z architekturą gotową do użycia w przyszłości, wbudowaną sztuczną inteligencją i nowymi funkcjami. Jeśli dopiero zaczynasz korzystać z magazynowania danych, zacznij od Fabric Data Warehouse. Istniejące obciążenia dedykowanej puli SQL mogą zostać zaktualizowane do Fabric, aby uzyskać dostęp do nowych możliwości w zakresie nauki o danych, analizy w czasie rzeczywistym i raportowania.

Audyt Azure Synapse Analytics wspiera zapisywanie zdarzeń bazy danych do konta Azure Storage chronionego przez sieć wirtualną lub zaporę sieciową.

Important

Jeśli konto magazynu znajduje się za siecią wirtualną lub zaporą, konieczne jest użycie uwierzytelniania za pomocą tożsamości zarządzanej z rolą Współautora danych obiektu blob usługi Storage, zamiast kluczy dostępu do magazynu. Portal Azure konfiguruje tę autentyzację automatycznie, gdy zapisujesz ustawienia audytu. Jeśli konfigurujesz audyt za pomocą REST API lub PowerShell, nie określaj storageAccountAccessKey. Zarządzana tożsamość serwera uwierzytelnia się zamiast tego do konta magazynu.

Kontekst

Azure Virtual Network (VNet) to podstawowy blok konstrukcyjny dla sieci prywatnej na platformie Azure. Sieć wirtualna umożliwia wielu typom zasobów Azure, takim jak Azure Virtual Machines (VM), aby mogły się bezpiecznie komunikować ze sobą, z Internetem oraz z sieciami lokalnych środowisk. VNet jest podobny do tradycyjnej sieci w centrum danych, ale niesie ze sobą dodatkowe zalety infrastruktury Azure, takie jak skalowalność, dostępność i izolacja.

Aby dowiedzieć się więcej o koncepcjach VNet, najlepszych praktykach i nie tylko, zobacz What is Azure Virtual Network.

Aby dowiedzieć się więcej na temat tworzenia sieci wirtualnej, zobacz Szybki start: tworzenie sieci wirtualnej przy użyciu witryny Azure Portal.

Prerequisites

  • Użyj konta magazynu ogólnego przeznaczenia w wersji 2 lub konta BlockBlobStorage w warstwie Premium. Aby zaktualizować starsze konto, zobacz Uaktualnij do konta magazynu ogólnego przeznaczenia w wersji v2.
  • Obsługiwany jest magazyn Premium z BlockBlobStorage.
  • Umieść konto magazynu w tej samej dzierżawie i regionie co serwer SQL Synapse.
  • Na stronie sieci konta pamięci masowej włącz opcję Zezwalaj usługom Azure na liście zaufanych usług na dostęp do tego konta pamięci masowej.
  • Nadaj systemowej tożsamości zarządzanej serwera rolę Storage Blob Data Contributor na koncie magazynu. Potrzebujesz Microsoft.Authorization/roleAssignments/write uprawnienia do utworzenia przypisania roli.

Jeśli włączyłeś audyt zanim konto pamięci masowej było za zaporą, zapisz ponownie ustawienia audytu, aby logi audytowe mogły wznowić zapis do konta.

Konfigurowanie inspekcji w portalu Azure

  1. W portalu Azure otwórz serwer SQL Synapse lub zasób puli SQL.

  2. W sekcji Bezpieczeństwo wybierz Audyt, a następnie włącz audyt.

  3. Wybierz Storage i wybierz konto magazynu spełniające wymagania wstępne.

  4. Otwórz Szczegóły magazynu i sprawdź, czy portal wskazuje, że używane jest uwierzytelnianie za pomocą tożsamości zarządzanej.

    Note

    Jeśli wybrane konto magazynu znajduje się za siecią wirtualną, zobaczysz następujący komunikat:

    You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

    Jeśli nie widzisz tego komunikatu, konto magazynu nie znajduje się za siecią wirtualną.

  5. Wybierz okres retencji i zapisz ustawienia audytu.

Po zapisaniu ustawień portal przyznaje tożsamości przypisanej przez system wymaganą rolę magazynu, jeśli masz uprawnienia do tworzenia przypisań ról.

Konfiguruj audyt za pomocą kodu

Gdy konfigurujesz audyt przez PowerShell lub REST API, nie podawaj klucza dostępu do konta pamięci masowej. Pominięcie klucza powoduje, że polityka audytu korzysta z systemowej tożsamości zarządzanej serwera.

Szczegóły dotyczące zachowania tożsamości można znaleźć w artykule Audyt z wykorzystaniem zarządzanej tożsamości w Azure Synapse Analytics.

Treści powiązane

  • Ostatnia aktualizacja o