Skonfiguruj inspekcję dla usługi Azure Synapse Analytics

Wskazówka

Microsoft Fabric Data Warehouse to magazyn relacyjny w skali przedsiębiorstwa na podstawie bazy danych data lake z architekturą gotową do użycia w przyszłości, wbudowaną sztuczną inteligencją i nowymi funkcjami. Jeśli dopiero zaczynasz korzystać z magazynowania danych, zacznij od Fabric Data Warehouse. Istniejące obciążenia dedykowanej puli SQL mogą zostać zaktualizowane do Fabric, aby uzyskać dostęp do nowych możliwości w zakresie nauki o danych, analizy w czasie rzeczywistym i raportowania.

W tym artykule dowiesz się, jak skonfigurować audyt dla swojego logicznego serwera lub bazy danych w Azure Synapse Analytics.

Konfiguruj audyt dla swojego serwera

Domyślna polityka audytu obejmuje następujący zestaw grup działań, które audytują wszystkie zapytania i procedury składowane wykonywane względem bazy danych, a także udane i nieudane logowania:

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

Aby uzyskać niestandardowe filtry i konfigurację programatyczną, zobacz Zarządzanie inspekcją usługi Azure Synapse Analytics przy użyciu interfejsów API.

Note

Nie można włączyć inspekcji w wstrzymanej dedykowanej puli SQL. Szybki start: Wstrzymaj i wznowij obliczenia w dedykowanej puli SQL przez portal Azure przed skonfigurowaniem audytu.

Gdy konfigurujesz audyt do przestrzeni roboczej Log Analytics lub do miejsca docelowego Event Hubs w portalu Azure lub cmdlecie PowerShell, tworzone jest ustawienie diagnostyczne z włączoną kategorią SQLSecurityAuditEvents.

  1. W portalu Azure otwórz zasób serwera SQL Synapse.
  2. W obszarze Zabezpieczenia wybierz pozycję Inspekcja.
  3. Włącz audyt na poziomie serwera lub bazy danych. Polityka na poziomie serwera ma zastosowanie do każdej bazy danych na tym serwerze. Wskazówki dotyczące wyboru zakresu można znaleźć w artykule Zasady inspekcji na poziomie serwera i bazy danych.
  4. Wybierz jedno lub więcej miejsc docelowych: Azure Storage, Log Analytics lub Event Hubs.
  5. Skonfiguruj każdy element docelowy, a następnie zapisz politykę.

Inspekcja do lokalizacji docelowej Azure Storage

Aby skonfigurować zapisywanie logów audytowych do konta magazynowego, wybierz Storage, wybierz konto i ustaw okres retencji.

  • Jeśli konto znajduje się za siecią wirtualną lub zaporą, audyt wykorzystuje systemowo przypisaną przez serwer tożsamość zarządzaną. Nadaj tej tożsamości rolę Storage Blob Data Contributor .
  • Jeśli konto nie znajduje się w sieci wirtualnej ani za zaporą sieciową, portal konfiguruje uwierzytelnianie za pomocą klucza dostępu do pamięci masowej.

Wartość retencji 0 oznacza nieograniczoną retencję. Jeśli zmienisz czas z nieograniczonego przechowywania na czas skończony, nowy okres dotyczy tylko dzienników sporządzonych po zmianie.

W przypadku chronionych kont magazynu zobacz Zapisuj logi audytowe na koncie magazynu za siecią wirtualną i zaporą.

Ostrzeżenie

W przypadku uwierzytelniania magazynowania użyj tożsamości zarządzanej. Klucze dostępu do magazynu stanowią zagrożenie bezpieczeństwa, ponieważ jeśli zostaną przejęte, osoby nieupoważnione mogą uzyskać dostęp do Twojego konta magazynu, potencjalnie odczytując, zapisując lub usuwając dane. Aby zminimalizować te ryzyka, regularnie rotuj klucze i korzystaj z Azure Key Vault do bezpiecznego zarządzania i rotacji kluczy.

Inspekcja do miejsca docelowego usługi Log Analytics

Wybierz Log Analytics, wybierz przestrzeń roboczą Log Analytics i zapisz politykę. Jeśli potrzebujesz obszaru roboczego, zobacz Tworzenie obszaru roboczego usługi Log Analytics.

Inspekcja miejsca docelowego usługi Event Hubs

Wybierz Event Hubs, wybierz event hub w tym samym regionie co zasób SQL Synapse i zapisz politykę.

Gdy konfigurujesz audyt przy użyciu zewnętrznych monitorów platformy Azure (np. Event Hubs lub Log Analytics) jako celu, system tworzy dodatkowy zasób ustawień diagnostycznych o nazwie SQLSecurityAuditEvents_XXXX-XXXX-XXX. To źródło jest kluczowe dla prawidłowego funkcjonowania audytu.

Jeśli usuniesz ustawienia diagnostyczne, celowo lub niecelowo, funkcja audytu przestaje działać, a logi audytowe nie są wysyłane do docelowej lokalizacji. Aby temu zapobiec, skonfiguruj alerty dotyczące usuwania ustawień diagnostycznych, aby powiadamiać użytkowników i podejmować niezbędne działania. Aby uzyskać więcej informacji o tworzeniu grup akcji i konfigurowaniu alertów, zobacz grupy akcji oraz Utwórz lub edytuj regułę alertu dziennika działań, kondycji usługi lub kondycji zasobów.

Note

Jeśli używasz wielu celów, takich jak konto magazynowe, Log Analytics czy Event Hubs, upewnij się, że masz uprawnienia dla wszystkich celów. W przeciwnym razie zapisywanie konfiguracji audytu nie działa, ponieważ system próbuje zapisać ustawienia dla wszystkich elementów docelowych.

Treści powiązane

  • Ostatnia aktualizacja o