Áreas de trabalho do Microsoft.Synapse/sqlPools/extendedAuditingSettings 2021-06-01
Definição de recurso do Bicep
O tipo de recurso workspaces/sqlPools/extendedAuditingSettings pode ser implementado com operações que visam:
- Grupos de recursos – veja os comandos de implementação do grupo de recursos
Para obter uma lista das propriedades alteradas em cada versão da API, veja Registo de alterações.
Formato do recurso
Para criar um recurso Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings, adicione o seguinte Bicep ao seu modelo.
resource symbolicname 'Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings@2021-06-01' = {
name: 'default'
parent: resourceSymbolicName
properties: {
auditActionsAndGroups: [
'string'
]
isAzureMonitorTargetEnabled: bool
isStorageSecondaryKeyInUse: bool
predicateExpression: 'string'
queueDelayMs: int
retentionDays: int
state: 'string'
storageAccountAccessKey: 'string'
storageAccountSubscriptionId: 'string'
storageEndpoint: 'string'
}
}
Valores de propriedade
áreas de trabalho/sqlPools/extendedAuditingSettings
| Nome | Descrição | Valor |
|---|---|---|
| name | O nome do recurso Veja como definir nomes e tipos para recursos subordinados no Bicep. |
"predefinição" |
| principal | No Bicep, pode especificar o recurso principal de um recurso subordinado. Só tem de adicionar esta propriedade quando o recurso subordinado for declarado fora do recurso principal. Para obter mais informações, veja Recurso subordinado fora do recurso principal. |
Nome simbólico para recurso do tipo: sqlPools |
| propriedades | Propriedades do recurso. | ExtendedSqlPoolBlobAuditingPolicyProperties |
ExtendedSqlPoolBlobAuditingPolicyProperties
| Nome | Descrição | Valor |
|---|---|---|
| auditActionsAndGroups | Especifica os Actions-Groups e Ações a auditar. O conjunto recomendado de grupos de ações a utilizar é a seguinte combinação. Esta ação irá auditar todas as consultas e procedimentos armazenados executados na base de dados, bem como inícios de sessão bem-sucedidos e falhados: BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP. Esta combinação acima também é o conjunto configurado por predefinição ao ativar a auditoria a partir do portal do Azure. Os grupos de ações suportados para auditoria são (nota: escolha apenas grupos específicos que abordem as suas necessidades de auditoria. A utilização de grupos desnecessários pode levar a grandes quantidades de registos de auditoria): APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP Estes são grupos que abrangem todas as instruções sql e procedimentos armazenados executados na base de dados e não devem ser utilizados em combinação com outros grupos, uma vez que tal resultará em registos de auditoria duplicados. Para obter mais informações, veja Grupos de Ações de Auditoria ao Nível da Base de Dados. Para a política de auditoria da base de dados, também é possível especificar Ações específicas (tenha em atenção que não é possível especificar ações para a política de auditoria do servidor). As ações suportadas para auditoria são: SELECT UPDATE INSERT DELETE EXECUTAR RECEBER REFERÊNCIAS O formulário geral para definir uma ação a ser auditada é: {action} ON {object} BY {principal} Tenha em atenção que {object} no formato acima pode referir-se a um objeto como uma tabela, vista ou procedimento armazenado, ou uma base de dados ou esquema inteiro. Nos últimos casos, são utilizados os formulários DATABASE::{db_name} e SCHEMA::{schema_name}, respetivamente. Por exemplo: SELECT em dbo.myTable por público SELECIONAR em BASE DE DADOS::myDatabase por público SELECIONAR em SCHEMA::mySchema por público Para obter mais informações, veja Ações de Auditoria ao Nível da Base de Dados |
string[] |
| isAzureMonitorTargetEnabled | Especifica se os eventos de auditoria são enviados para o Azure Monitor. Para enviar os eventos para o Azure Monitor, especifique "state" como "Enabled" e "isAzureMonitorTargetEnabled" como true. Ao utilizar a API REST para configurar a auditoria, as Definições de Diagnóstico com a categoria de registos de diagnóstico "SQLSecurityAuditEvents" na base de dados também devem ser criadas. Tenha em atenção que, para a auditoria ao nível do servidor, deve utilizar a base de dados "mestra" como {databaseName}. Formato URI das Definições de Diagnóstico: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-previewPara obter mais informações, veja API REST de Definições de Diagnóstico ou Definições de Diagnóstico do PowerShell |
bool |
| isStorageSecondaryKeyInUse | Especifica se o valor storageAccountAccessKey é a chave secundária do armazenamento. | bool |
| predicateExpression | Especifica a condição da cláusula where ao criar uma auditoria. | string |
| queueDelayMs | Especifica a quantidade de tempo em milissegundos que pode decorrer antes de as ações de auditoria serem forçadas a ser processadas. O valor mínimo predefinido é 1000 (1 segundo). O máximo é 2.147.483.647. |
int |
| retentionDays | Especifica o número de dias a manter nos registos de auditoria na conta de armazenamento. | int |
| state | Especifica o estado da política. Se o estado estiver Ativado, é necessário storageEndpoint ou éAzureMonitorTargetEnabled. | "Desativado" "Ativado" (obrigatório) |
| storageAccountAccessKey | Especifica a chave de identificador da conta de armazenamento de auditoria. Se o estado estiver Ativado e o storageEndpoint for especificado, não especificar o storageAccountAccessKey utilizará a identidade gerida atribuída pelo sistema do SQL Server para aceder ao armazenamento. Pré-requisitos para utilizar a autenticação de identidade gerida: 1. Atribua SQL Server uma identidade gerida atribuída pelo sistema no Azure Active Directory (AAD). 2. Conceda SQL Server acesso de identidade à conta de armazenamento ao adicionar a função RBAC "Contribuidor de Dados do Blob de Armazenamento" à identidade do servidor. Para obter mais informações, veja Auditing to storage using Managed Identity authentication (Auditoria ao armazenamento com a autenticação de Identidade Gerida) |
string |
| storageAccountSubscriptionId | Especifica o ID da subscrição do armazenamento de blobs. | string |
| storageEndpoint | Especifica o ponto final de armazenamento de blobs (por exemplo, https://MyAccount.blob.core.windows.net). Se o estado estiver Ativado, é necessário storageEndpoint ou éAzureMonitorTargetEnabled. |
string |
Definição de recurso do modelo arm
O tipo de recurso workspaces/sqlPools/extendedAuditingSettings pode ser implementado com operações que visam:
- Grupos de recursos – veja os comandos de implementação do grupo de recursos
Para obter uma lista das propriedades alteradas em cada versão da API, veja Registo de alterações.
Formato do recurso
Para criar um recurso Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings, adicione o seguinte JSON ao seu modelo.
{
"type": "Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings",
"apiVersion": "2021-06-01",
"name": "default",
"properties": {
"auditActionsAndGroups": [ "string" ],
"isAzureMonitorTargetEnabled": "bool",
"isStorageSecondaryKeyInUse": "bool",
"predicateExpression": "string",
"queueDelayMs": "int",
"retentionDays": "int",
"state": "string",
"storageAccountAccessKey": "string",
"storageAccountSubscriptionId": "string",
"storageEndpoint": "string"
}
}
Valores de propriedade
áreas de trabalho/sqlPools/extendedAuditingSettings
| Nome | Descrição | Valor |
|---|---|---|
| tipo | O tipo de recurso | "Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings" |
| apiVersion | A versão da API de recursos | '2021-06-01' |
| name | O nome do recurso Veja como definir nomes e tipos para recursos subordinados em modelos arm JSON. |
"predefinição" |
| propriedades | Propriedades do recurso. | ExtendedSqlPoolBlobAuditingPolicyProperties |
ExtendedSqlPoolBlobAuditingPolicyProperties
| Nome | Descrição | Valor |
|---|---|---|
| auditActionsAndGroups | Especifica os Actions-Groups e Ações a auditar. O conjunto recomendado de grupos de ações a utilizar é a seguinte combinação. Esta ação irá auditar todas as consultas e procedimentos armazenados executados na base de dados, bem como inícios de sessão bem-sucedidos e falhados: BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP. Esta combinação acima também é o conjunto configurado por predefinição ao ativar a auditoria a partir do portal do Azure. Os grupos de ações suportados para auditoria são (nota: escolha apenas grupos específicos que abordem as suas necessidades de auditoria. A utilização de grupos desnecessários pode levar a grandes quantidades de registos de auditoria): APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP Estes são grupos que abrangem todas as instruções sql e procedimentos armazenados executados na base de dados e não devem ser utilizados em combinação com outros grupos, uma vez que tal resultará em registos de auditoria duplicados. Para obter mais informações, veja Grupos de Ações de Auditoria ao Nível da Base de Dados. Para a política de auditoria da base de dados, também é possível especificar Ações específicas (tenha em atenção que não é possível especificar ações para a política de auditoria do servidor). As ações suportadas para auditoria são: SELECT UPDATE INSERT DELETE EXECUTAR RECEBER REFERÊNCIAS O formulário geral para definir uma ação a ser auditada é: {action} ON {object} BY {principal} Tenha em atenção que {object} no formato acima pode referir-se a um objeto como uma tabela, vista ou procedimento armazenado, ou uma base de dados ou esquema inteiro. Nos últimos casos, são utilizados os formulários DATABASE::{db_name} e SCHEMA::{schema_name}, respetivamente. Por exemplo: SELECT em dbo.myTable por público SELECIONAR em BASE DE DADOS::myDatabase por público SELECIONAR em SCHEMA::mySchema por público Para obter mais informações, veja Ações de Auditoria ao Nível da Base de Dados |
string[] |
| isAzureMonitorTargetEnabled | Especifica se os eventos de auditoria são enviados para o Azure Monitor. Para enviar os eventos para o Azure Monitor, especifique "state" como "Enabled" e "isAzureMonitorTargetEnabled" como true. Ao utilizar a API REST para configurar a auditoria, as Definições de Diagnóstico com a categoria de registos de diagnóstico "SQLSecurityAuditEvents" na base de dados também devem ser criadas. Tenha em atenção que, para a auditoria ao nível do servidor, deve utilizar a base de dados "mestra" como {databaseName}. Formato URI das Definições de Diagnóstico: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-previewPara obter mais informações, veja API REST de Definições de Diagnóstico ou Definições de Diagnóstico do PowerShell |
bool |
| isStorageSecondaryKeyInUse | Especifica se o valor storageAccountAccessKey é a chave secundária do armazenamento. | bool |
| predicateExpression | Especifica a condição da cláusula where ao criar uma auditoria. | string |
| queueDelayMs | Especifica a quantidade de tempo em milissegundos que pode decorrer antes de as ações de auditoria serem forçadas a ser processadas. O valor mínimo predefinido é 1000 (1 segundo). O máximo é 2.147.483.647. |
int |
| retentionDays | Especifica o número de dias a manter nos registos de auditoria na conta de armazenamento. | int |
| state | Especifica o estado da política. Se o estado estiver Ativado, é necessário storageEndpoint ou éAzureMonitorTargetEnabled. | "Desativado" "Ativado" (obrigatório) |
| storageAccountAccessKey | Especifica a chave de identificador da conta de armazenamento de auditoria. Se o estado estiver Ativado e o storageEndpoint for especificado, não especificar o storageAccountAccessKey utilizará a identidade gerida atribuída pelo sistema do SQL Server para aceder ao armazenamento. Pré-requisitos para utilizar a autenticação de identidade gerida: 1. Atribua SQL Server uma identidade gerida atribuída pelo sistema no Azure Active Directory (AAD). 2. Conceda SQL Server acesso de identidade à conta de armazenamento ao adicionar a função RBAC "Contribuidor de Dados do Blob de Armazenamento" à identidade do servidor. Para obter mais informações, veja Auditing to storage using Managed Identity authentication (Auditoria ao armazenamento com a autenticação de Identidade Gerida) |
string |
| storageAccountSubscriptionId | Especifica o ID da subscrição do armazenamento de blobs. | string |
| storageEndpoint | Especifica o ponto final de armazenamento de blobs (por exemplo, https://MyAccount.blob.core.windows.net). Se o estado estiver Ativado, é necessário storageEndpoint ou éAzureMonitorTargetEnabled. |
string |
Definição de recurso terraform (fornecedor AzAPI)
O tipo de recurso workspaces/sqlPools/extendedAuditingSettings pode ser implementado com operações que visam:
- Grupos de recursos
Para obter uma lista das propriedades alteradas em cada versão da API, veja Registo de alterações.
Formato do recurso
Para criar um recurso Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings, adicione o seguinte Terraform ao seu modelo.
resource "azapi_resource" "symbolicname" {
type = "Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings@2021-06-01"
name = "default"
parent_id = "string"
body = jsonencode({
properties = {
auditActionsAndGroups = [
"string"
]
isAzureMonitorTargetEnabled = bool
isStorageSecondaryKeyInUse = bool
predicateExpression = "string"
queueDelayMs = int
retentionDays = int
state = "string"
storageAccountAccessKey = "string"
storageAccountSubscriptionId = "string"
storageEndpoint = "string"
}
})
}
Valores de propriedade
áreas de trabalho/sqlPools/extendedAuditingSettings
| Nome | Descrição | Valor |
|---|---|---|
| tipo | O tipo de recurso | "Microsoft.Synapse/workspaces/sqlPools/extendedAuditingSettings@2021-06-01" |
| name | O nome do recurso | "predefinição" |
| parent_id | O ID do recurso que é o principal para este recurso. | ID do recurso do tipo: sqlPools |
| propriedades | Propriedades do recurso. | ExtendedSqlPoolBlobAuditingPolicyProperties |
ExtendedSqlPoolBlobAuditingPolicyProperties
| Nome | Descrição | Valor |
|---|---|---|
| auditActionsAndGroups | Especifica os Actions-Groups e Ações a auditar. O conjunto recomendado de grupos de ações a utilizar é a seguinte combinação. Esta ação irá auditar todas as consultas e procedimentos armazenados executados na base de dados, bem como inícios de sessão bem-sucedidos e falhados: BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP. Esta combinação acima também é o conjunto configurado por predefinição ao ativar a auditoria a partir do portal do Azure. Os grupos de ações suportados para auditoria são (nota: escolha apenas grupos específicos que abordem as suas necessidades de auditoria. A utilização de grupos desnecessários pode levar a grandes quantidades de registos de auditoria): APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP Estes são grupos que abrangem todas as instruções sql e procedimentos armazenados executados na base de dados e não devem ser utilizados em combinação com outros grupos, uma vez que tal resultará em registos de auditoria duplicados. Para obter mais informações, veja Grupos de Ações de Auditoria ao Nível da Base de Dados. Para a política de auditoria da base de dados, também é possível especificar Ações específicas (tenha em atenção que não é possível especificar ações para a política de auditoria do servidor). As ações suportadas para auditoria são: SELECT UPDATE INSERT DELETE EXECUTAR RECEBER REFERÊNCIAS O formulário geral para definir uma ação a ser auditada é: {action} ON {object} BY {principal} Tenha em atenção que {object} no formato acima pode referir-se a um objeto como uma tabela, vista ou procedimento armazenado, ou uma base de dados ou esquema inteiro. Nos últimos casos, são utilizados os formulários DATABASE::{db_name} e SCHEMA::{schema_name}, respetivamente. Por exemplo: SELECT em dbo.myTable por público SELECIONAR em BASE DE DADOS::myDatabase por público SELECIONAR em SCHEMA::mySchema por público Para obter mais informações, veja Ações de Auditoria ao Nível da Base de Dados |
string[] |
| isAzureMonitorTargetEnabled | Especifica se os eventos de auditoria são enviados para o Azure Monitor. Para enviar os eventos para o Azure Monitor, especifique "state" como "Enabled" e "isAzureMonitorTargetEnabled" como true. Ao utilizar a API REST para configurar a auditoria, as Definições de Diagnóstico com a categoria de registos de diagnóstico "SQLSecurityAuditEvents" na base de dados também devem ser criadas. Tenha em atenção que, para a auditoria ao nível do servidor, deve utilizar a base de dados "mestra" como {databaseName}. Formato URI das Definições de Diagnóstico: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-previewPara obter mais informações, veja API REST de Definições de Diagnóstico ou Definições de Diagnóstico do PowerShell |
bool |
| isStorageSecondaryKeyInUse | Especifica se o valor storageAccountAccessKey é a chave secundária do armazenamento. | bool |
| predicateExpression | Especifica a condição da cláusula where ao criar uma auditoria. | string |
| queueDelayMs | Especifica a quantidade de tempo em milissegundos que pode decorrer antes de as ações de auditoria serem forçadas a ser processadas. O valor mínimo predefinido é 1000 (1 segundo). O máximo é 2.147.483.647. |
int |
| retentionDays | Especifica o número de dias a manter nos registos de auditoria na conta de armazenamento. | int |
| state | Especifica o estado da política. Se o estado estiver Ativado, é necessário storageEndpoint ou éAzureMonitorTargetEnabled. | "Desativado" "Ativado" (obrigatório) |
| storageAccountAccessKey | Especifica a chave de identificador da conta de armazenamento de auditoria. Se o estado estiver Ativado e o storageEndpoint for especificado, não especificar o storageAccountAccessKey utilizará a identidade gerida atribuída pelo sistema do SQL Server para aceder ao armazenamento. Pré-requisitos para utilizar a autenticação de identidade gerida: 1. Atribua SQL Server uma identidade gerida atribuída pelo sistema no Azure Active Directory (AAD). 2. Conceda SQL Server acesso de identidade à conta de armazenamento ao adicionar a função RBAC "Contribuidor de Dados do Blob de Armazenamento" à identidade do servidor. Para obter mais informações, veja Auditing to storage using Managed Identity authentication (Auditoria ao armazenamento com a autenticação de Identidade Gerida) |
string |
| storageAccountSubscriptionId | Especifica o ID da subscrição do armazenamento de blobs. | string |
| storageEndpoint | Especifica o ponto final de armazenamento de blobs (por exemplo, https://MyAccount.blob.core.windows.net). Se o estado estiver Ativado, é necessário storageEndpoint ou éAzureMonitorTargetEnabled. |
string |