Настройка аудита для Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse — это реляционное хранилище корпоративного масштаба на основе озера данных, с архитектурой, готовой к будущему, встроенным ИИ и новыми функциями. Если вы не знакомы с хранилищем данных, начните с Fabric Data Warehouse. Существующие рабочие нагрузки выделенных пулов SQL могут быть обновлены до Fabric для доступа к новым возможностям в области науки о данных, аналитики в реальном времени и создания отчётов.

В этой статье вы узнаете, как настроить аудит для вашего логического сервера или базы данных в Azure Synapse Analytics.

Настройте аудит для вашего сервера

Стандартная политика аудита включает следующий набор групп действий, которые проводят аудит всех запросов и хранимых процедур, выполняемых в базе данных, а также успешных и неудачных входов:

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

Для пользовательских фильтров и программной конфигурации см. Управление аудитом Azure Synapse Analytics с использованием API.

Note

Вы не можете включить аудит в приостановленном выделенном пуле SQL. Быстрый старт: Поставьте на паузу и возобновите вычисления в выделенном SQL-пуле через портал Azure перед настройкой аудита.

Когда вы настраиваете аудит в рабочую область Log Analytics или в назначение Event Hubs в портале Azure или командлете PowerShell, создаётся диагностическая настройка с включённой категорией SQLSecurityAuditEvents.

  1. В портале Azure откройте ресурс Synapse SQL Server.
  2. В разделе "Безопасность" выберите "Аудит".
  3. Включите аудит на уровне сервера или базы данных. Политика на уровне сервера применяется к каждой базе данных на этом сервере. Для получения рекомендаций по выбору области действия см. раздел «Политика аудита на уровне сервера и базы данных».
  4. Выберите один или несколько направлений: служба хранилища Azure, Log Analytics или Event Hubs.
  5. Настройте каждый конечный пункт, а затем сохраните политику.

Аудит в место назначения служба хранилища Azure

Чтобы настроить запись журналов аудита в учетную запись хранения, выберите «Хранилище», выберите учетную запись и установите период хранения.

  • Если аккаунт находится за виртуальной сетью или файрволом, аудит использует управляемое удостоверение сервера, назначенное системой. Присвойте этой идентичности роль Storage Blob Data Contributor.
  • Если учетная запись не защищена виртуальной сетью или брандмауэром, портал настраивает аутентификацию с помощью ключа доступа к хранилищу.

Значение удержания 0 означает неограниченное удержание. Если вы переходите с неограниченного удержания на конечный период, новый период применяется только к журналам, записанным после изменения.

Для защищённых аккаунтов хранения см. раздел «Запись журналов аудита в аккаунт хранения в виртуальной сети и за брандмауэром».

Предупреждение

Для аутентификации хранилища используйте управляемое удостоверение. Ключи доступа к хранилищу представляют угрозу безопасности, потому что если они будут скомпрометированы, неавторизованные лица могут получить доступ к вашей учетной записи хранения, потенциально читая, записывая или удаляя ваши данные. Чтобы снизить эти риски, регулярно вращайте ключи и используйте Azure Key Vault для безопасного управления и ротации ключей.

Запись журналов аудита в назначение Log Analytics

Выберите Log Analytics, выберите рабочее пространство Log Analytics и сохраните политику. Если вам нужно рабочее пространство, см. Создание рабочей области Log Analytics.

Аудит назначения Центров событий

Выберите Event Hubs, выберите event hub в том же регионе, что и ресурс Synapse SQL, и сохраните политику.

Когда вы настраиваете аудит с Azure внешними мониторами (например, Event Hubs или Log Analytics) в качестве целевой цели, система создаёт дополнительный диагностический ресурс с названием SQLSecurityAuditEvents_XXXX-XXXX-XXX. Этот ресурс критически важен для правильного функционирования аудита.

Если вы удалите диагностические настройки, намеренно или случайно, функция аудита перестаёт работать, и журналы аудита не отправляются в целевое расположение. Чтобы избежать этой проблемы, настройте оповещения об удалении диагностических настроек, чтобы уведомлять пользователей и принимать необходимые меры. Для получения дополнительной информации о создании групп действий и настройке оповещений см. «Группы действий» и «Создание или изменение правила оповещения журнала действий, работоспособности службы или работоспособности ресурса».

Note

Если вы используете несколько целей, таких как учетная запись хранения, Log Analytics или Event Hubs, убедитесь, что у вас есть права на все цели. В противном случае не удаётся сохранить конфигурацию аудита, потому что система пытается сохранить настройки для всех целей.

Связанные материалы

  • Последнее обновление: