Аудит с использованием управляемой идентичности в Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse — это реляционное хранилище корпоративного масштаба на основе озера данных, с архитектурой, готовой к будущему, встроенным ИИ и новыми функциями. Если вы не знакомы с хранилищем данных, начните с Fabric Data Warehouse. Существующие рабочие нагрузки выделенных пулов SQL могут быть обновлены до Fabric для доступа к новым возможностям в области науки о данных, аналитики в реальном времени и создания отчётов.

• Start a Fabric бесплатная пробная версия.
• Ассистент по миграции для Fabric Data Warehouse.

Настройте аудит для использования учетной записи хранения с двумя методами аутентификации:

• Управляемая идентичность
• Ключи доступа к хранилищу

Управляемая идентичность может быть управляемой идентичностью, назначаемой системой (SMI), или управляемой идентичностью, назначаемой пользователем (UMI).

Чтобы настроить запись журналов аудита в учетную запись хранения, перейдите в портал Azure и выберите свой сервер. Выберите Хранилище в меню Аудит. Выберите аккаунт хранения Azure, где сохраняются логи.

По умолчанию используется основная учетная запись пользователя, назначенная серверу. Если идентичность пользователя отсутствует, сервер создает управляемую идентичность, назначаемую системой, и использует ее для аутентификации.

Выберите период хранения, открыв расширенные свойства. Затем выберите Сохранить. Журналы старше периода хранения удаляются.

Note

Чтобы настроить аудит на основе управляемых идентификаций в Azure Synapse Analytics, см. раздел Настройка управляемой идентификации, назначенной системой, для аудита Azure Synapse Analytics далее в этой статье.

Управляемая идентификация, назначаемая пользователем

UMI даёт вам гибкость в создании и поддержке собственного UMI для конкретного тенанта. UMI находится под вашим управлением, в отличие от управляемой идентификации, назначаемой системой, которая уникально определяется для каждого сервера и назначается системой.

Настройка управляемой идентичности, назначенной пользователем для аудита

Прежде чем настроить аудит для отправки журналов в вашу учетную запись хранения, управляемая идентичность, назначенная серверу, должна иметь назначенную роль Storage Blob Data Contributor. Это задание необходимо, если вы настраиваете аудит с помощью PowerShell, Azure CLI, REST API или шаблонов ARM. Портал Azure автоматически назначает роль при настройке аудита через портал, так что вам не нужно следовать этим шагам, если вы используете портал.

1. Перейдите в раздел порталу Azure.
2. Создайте управляемое удостоверение, назначаемое пользователем, если у вас его ещё нет. Для получения дополнительной информации см. раздел «создание назначаемого пользователем удостоверения».
3. Перейдите в учетную запись хранения данных, которую вы хотите настроить для аудита.
4. Выберите меню «Контроль доступа (IAM)».
5. Нажмите кнопку Добавить>Добавить назначение ролей.
6. Во вкладке «Роль» найдите и выберите Storage Blob Data Contributor. Нажмите кнопку Далее.
7. На вкладке «Участники» в разделе «Назначить доступ к» выберите «Управляемая идентичность», а затем «Выбрать участников». Вы можете выбрать управляемое удостоверение, которое создали для вашего сервера.
8. Выберите кнопку Проверить + назначить.

Дополнительные сведения см. в статье «Назначение ролей Azure с помощью портала».

Используйте следующие инструкции для настройки аудита, используя управляемое удостоверение, назначенное пользователем.

Портал

1. Перейдите в меню Identity для сервера. В разделе Управляемая идентичность, назначаемая пользователем нажмите Добавить управляемую идентичность.
2. Выберите добавленную управляемую идентичность в качестве основной идентичности для вашего сервера.
3. Перейдите в меню Аудитирование для сервера. Выберите управляемую идентичность в качестве типа аутентификации хранилища при настройке хранилища для сервера.

Интерфейс командной строки Azure

Чтобы использовать управляемое удостоверение, передайте параметр --storage-key в виде пустой строки, чтобы использовать основное управляемое удостоверение, назначенное серверу, при настройке аудита. Ниже приведен пример команды:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Дополнительные сведения см. в статье az sql server audit-policy.

PowerShell

Чтобы использовать управляемую идентичность, передайте параметр UseIdentity как True, чтобы использовать первичную управляемую идентичность, назначенную серверу. Ниже приведен пример команды:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

Дополнительные сведения см. в разделе Set-AzSqlServerAudit.

REST API

Чтобы использовать основную управляемую идентификацию, пропустите передачу параметра storageAccountAccessKey в запросе:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Дополнительные сведения см. в разделе "Параметры аудита сервера" — создание или обновление.

Note

Когда вы настраиваете аудит с помощью управляемого удостоверения, копирование базы данных на новый сервер или создание геореплики может нарушить ведение журнала аудита. Это состояние возникает потому, что новый сервер имеет другое управляемое удостоверение, которое может не иметь доступа к учетной записи хранения для аудита. Убедитесь, что учетная запись нового сервера имеет соответствующие права для поддержания непрерывности аудита.

Настройте управляемую идентичность, назначаемую системой, для аудита Azure Synapse Analytics

Нельзя использовать аутентификацию на основе UMI для учетной записи хранилища для аудита. Для Azure Synapse Analytics можно использовать только назначаемое системой управляемое удостоверение (SMI). Для работы SMI-аутентификации управляемой идентичности должна быть назначена роль Storage Blob Data Contributor в настройках контроль доступа аккаунта хранения. Эта роль автоматически добавляется, если вы используете портал Azure для настройки аудита.

В портале Azure для Azure Synapse Analytics нет возможности явно выбрать SAS-ключ или SMI-аутентификацию.

• Если аккаунт хранения находится за VNet или файрволом, система автоматически настраивает аудит с помощью аутентификации SMI.

• Если аккаунт хранения не находится за VNet или файрволом, система автоматически настраивает аудит с помощью аутентификации на основе ключей SAS. Однако вы не можете использовать управляемую идентичность, если аккаунт хранения не находится за VNet или файрволом.

Чтобы принудительно использовать проверку подлинности SMI независимо от того, находится ли учетная запись хранения за виртуальной сетью или межсетевым экраном, используйте REST API или PowerShell, как показано ниже.

• Если вы используете REST API, явно опустите поле StorageAccountAccessKey в теле запроса.

  Дополнительные сведения можно найти здесь

  • Политики аудита BLOB-объектов сервера — создание или обновление — REST API (База данных SQL Azure)
  • Политики аудита BLOB базы данных — Создание или обновление — REST API (База данных SQL Azure)

• Если вы используете PowerShell, передайте UseIdentity параметр как true.

  Дополнительные сведения можно найти здесь

  • Set-AzSqlServerAudit (Az.Sql)
  • Set-AzSqlDatabaseAudit (Az.Sql)

Связанные материалы

• Аудит в Azure Synapse Analytics
• Записывайте журналы аудита в учетную запись хранения, защищенную виртуальной сетью и брандмауэром
• Настройка аудита для Azure Synapse Analytics