Поделиться через

ExtendedDatabaseBlobAuditingPolicy Класс

  • Ссылка

Расширенная политика аудита BLOB-объектов базы данных.

Переменные заполняются только сервером и игнорируются при отправке запроса.

Наследование
azure.mgmt.sql.models._models_py3.ProxyResource
ExtendedDatabaseBlobAuditingPolicy

Конструктор

ExtendedDatabaseBlobAuditingPolicy(*, predicate_expression: str | None = None, retention_days: int | None = None, audit_actions_and_groups: List[str] | None = None, is_storage_secondary_key_in_use: bool | None = None, is_azure_monitor_target_enabled: bool | None = None, queue_delay_ms: int | None = None, state: str | BlobAuditingPolicyState | None = None, storage_endpoint: str | None = None, storage_account_access_key: str | None = None, storage_account_subscription_id: str | None = None, **kwargs)

Параметры

Имя Описание
predicate_expression
Обязательно
str

Указывает условие предложения where при создании аудита.
retention_days
Обязательно
int

Указывает количество дней для хранения в журналах аудита в учетной записи хранения.
audit_actions_and_groups
Обязательно
list[str]

Указывает Actions-Groups и действия для аудита.

Рекомендуемый набор групп действий для использования — это будет аудит всех запросов и хранимых процедур, выполняемых в базе данных, а также успешных и неудачных попыток входа:

BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP.

Это сочетание выше также является набором, который настраивается по умолчанию при включении аудита из портал Azure.

Поддерживаемые группы действий для аудита: (примечание. Выберите только определенные группы, которые удовлетворяют потребности аудита. Использование ненужных групп может привести к очень большому количеству записей аудита:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_ OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP

Это группы, которые охватывают все инструкции SQL и хранимые процедуры, выполняемые в базе данных, и не должны использоваться в сочетании с другими группами, так как это приведет к дублированию журналов аудита.

Дополнительные сведения см. в разделе Группы действий аудита на уровне базы данных.

Для политики аудита базы данных также можно указать определенные действия (обратите внимание, что действия нельзя указать для политики аудита сервера). Поддерживаемые действия для аудита: SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES

Общая форма определения действия для аудита: {action} ON {object} BY {principal}

Обратите внимание, что <object> в приведенном выше формате может ссылаться на объект, например таблицу, представление или хранимую процедуру, а также на всю базу данных или схему. В последних случаях используются формы DATABASE::{db_name} и SCHEMA::{schema_name} соответственно.

Например: SELECT on dbo.myTable by public SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public SELECT

Дополнительные сведения см. в разделе Действия аудита на уровне базы данных.
is_storage_secondary_key_in_use
Обязательно
bool

Указывает, является ли значение storageAccountAccessKey вторичным ключом хранилища.
is_azure_monitor_target_enabled
Обязательно
bool

Указывает, отправляются ли события аудита в Azure Monitor. Чтобы отправить события в Azure Monitor, укажите "State" как "Включено" и "IsAzureMonitorTargetEnabled" в качестве значения true.

При использовании REST API для настройки аудита необходимо также создать параметры диагностики с категорией журналов диагностики SQLSecurityAuditEvents в базе данных. Обратите внимание, что для аудита на уровне сервера следует использовать базу данных master в качестве {databaseName}.

Формат URI параметров диагностики: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{database/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Дополнительные сведения см. в разделах REST API параметров диагностики или Параметры диагностики PowerShell.
queue_delay_ms
Обязательно
int

Определяет задержку в миллисекундах, после которой продолжается выполнение действий аудита. Минимальное значение по умолчанию — 1000 (1 секунда). Максимальное значение — 2 147 483 647.
state
Обязательно
str или BlobAuditingPolicyState

Указывает состояние аудита. Если состояние включено, требуется storageEndpoint или isAzureMonitorTargetEnabled. Возможные значения: "Включено", "Отключено".
storage_endpoint
Обязательно
str

Указывает конечную точку хранилища BLOB-объектов (например, https://MyAccount.blob.core.windows.net). Если состояние включено, требуется storageEndpoint или isAzureMonitorTargetEnabled.
storage_account_access_key
Обязательно
str

Указывает ключ идентификатора учетной записи хранения аудита. Если состояние включено и указано значение storageEndpoint, не указывая storageAccountAccessKey, для доступа к хранилищу будет использоваться управляемое удостоверение SQL Server, назначаемое системой. Предварительные требования для использования проверки подлинности управляемых удостоверений:

  1. Назначение SQL Server управляемого удостоверения, назначаемого системой, в Azure Active Directory (AAD).

#. Предоставьте удостоверению SQL Server доступ к учетной записи хранения, добавив к удостоверению сервера роль RBAC "Участник данных BLOB-объектов хранилища".

Дополнительные сведения см. в разделе >>Аудит<< в хранилище с помощью проверки подлинности управляемого удостоверения.

<https://go.microsoft.com/fwlink/?linkid=2114355>`_.
storage_account_subscription_id
Обязательно
str

Указывает идентификатор подписки хранилища BLOB-объектов.

Параметры Keyword-Only

Имя Описание
predicate_expression
Обязательно
retention_days
Обязательно
audit_actions_and_groups
Обязательно
is_storage_secondary_key_in_use
Обязательно
is_azure_monitor_target_enabled
Обязательно
queue_delay_ms
Обязательно
state
Обязательно
storage_endpoint
Обязательно
storage_account_access_key
Обязательно
storage_account_subscription_id
Обязательно

Переменные

Имя Описание
id
str

Идентификатор ресурса.
name
str

Имя ресурса.
type
str

Тип ресурса.