Azure Synapse Analytics'te managed identity kullanarak auditing

Tip

Microsoft Fabric Data Warehouse geleceğe hazır mimariye, yerleşik yapay zekaya ve yeni özelliklere sahip data lake foundation üzerinde kurumsal ölçekli ilişkisel bir ambardır. Veri ambarı konusunda yeniyseniz Fabric Data Warehouse ile başlayın. Mevcut özel SQL havuzu iş yükleri, veri bilimi, gerçek zamanlı analiz ve raporlama alanlarında yeni özelliklere erişmek için Fabric'e yükseltilebilir.

• Fabric ücretsiz deneme başlatın.
• Fabric Veri Ambarı için Taşıma Asistanı

Denetimi, iki kimlik doğrulama yöntemiyle bir Depolama hesabı kullanacak şekilde yapılandırın:

• Yönetimli Kimlik
• Depolama Erişim Anahtarları

Yönetilen Kimlik , sistem tarafından atanan yönetilen kimlik (SMI) veya kullanıcı tarafından atanan yönetilen kimlik (UMI) olabilir.

Denetim kayıtlarını depolama hesabına yazmayı yapılandırmak için Azure portalına gidin ve sunucunuzu seçin. Denetim menüsünde Depolama'yı seçin. Kayıtların kaydedildiği Azure depolama hesabını seçin.

Varsayılan olarak, kullanılan kimlik sunucuya atanan birincil kullanıcı kimliğidir. Kullanıcı kimliği yoksa, sunucu sistem tarafından atanan bir yönetilen kimlik oluşturur ve bunu kimlik doğrulaması için kullanır.

Gelişmiş özellikler'i açarak bekletme süresini seçin. Ardından Kaydet'i seçin. Saklama süresinden eski günlükler silinir.

Not

Azure Synapse Analytics'te yönetilen kimlik tabanlı denetimi ayarlamak için, bu makalenin ilerleyen bölümlerindeki Azure Synapse Analytics denetimi için sistem tarafından atanan yönetilen kimliği yapılandırma bölümüne bakın.

Kullanıcı tarafından atanan yönetilen kimlik

UMI, belirli bir kiracı/tenant için kendi UMI'nizi oluşturup sürdürme esnekliği sağlar. UMI'yi siz yönetirsiniz; sistem tarafından atanan ve sunucu başına benzersiz olarak tanımlanıp sistem tarafından atanan yönetilen kimliğin aksine.

Denetim için kullanıcı tarafından atanan yönetilen kimliği yapılandırın.

Depolama hesabınıza günlükler göndermek için denetimi ayarlamadan önce, sunucuya atanan yönetilen kimliğe Storage Blob Data Contributor rol atamasının yapılmış olması gerekir. Bu atama, PowerShell, Azure CLI, REST API veya ARM şablonlarıyla denetim yapılandırıyorsanız gereklidir. Azure portalı, portal üzerinden denetim yapılandırdığınızda rolü otomatik olarak atar, yani portalı kullanıyorsanız bu adımları takip etmenize gerek yoktur.

1. Azure portal'a gidin.
2. Henüz yoksa kullanıcı tarafından atanan yönetilen bir kimlik oluşturun. Daha fazla bilgi için, kullanıcı tarafından atanan kimlik oluşturma bölümüne bakınız.
3. Denetim için yapılandırmak istediğiniz depolama hesabınıza gidin.
4. Erişim Denetimi (IAM) menüsünü seçin.
5. Ekle>Rol ataması ekle’yi seçin.
6. Role sekmesinde Storage Blob Data Contributor arayıp seçin. Sonraki'yi seçin.
7. Üyeler sekmesinde, Erişim ata bölümünde Yönetilen kimlik'i ve ardından Üyeleri seç'i seçin. Sunucunuz için oluşturduğunuz Yönetilen kimliği seçebilirsiniz.
8. Gözden geçir + ata'yı seçin.

Daha fazla bilgi için bkz. Portalı kullanarak Azure rolleri atama.

Kullanıcı tarafından atanan yönetilen bir kimlik kullanarak denetimi yapılandırmak için aşağıdaki talimatları kullanın.

Portal

1. Sunucunuzun Kimlik menüsüne gidin. Kullanıcı tarafından atanan yönetilen kimlik bölümünün altında yönetilen kimliği ekleyin.
2. Sunucunuzun Birincil kimliği olarak eklenen yönetilen kimliği seçin.
3. Sunucunun Denetim menüsüne gidin. Sunucunuz için Depolama'yı yapılandırırken, Depolama Kimlik Doğrulama Türü olarak Yönetilen Kimlik'i seçin.

Azure CLI

Yönetilen bir kimlik kullanmak için, denetim yapılandırılırken sunucuya atanan birincil yönetilen kimliği kullanmak üzere --storage-key parametresini boş bir dize olarak geçirin. Aşağıda örnek bir komut verilmiştir:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Daha fazla bilgi için bkz . az sql server audit-policy.

PowerShell

Yönetilen bir kimlik kullanmak için, sunucuya atanan birincil yönetilen kimliği kullanmak üzere True parametresini UseIdentity olarak geçirin. Aşağıda örnek bir komut verilmiştir:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

Daha fazla bilgi için bkz. Set-AzSqlServerAudit.

REST API

Birincil yönetilen kimliği kullanmak için, istekte storageAccountAccessKey parametresini göndermeyi atlayın:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Daha fazla bilgi için bkz. Sunucu Denetim Ayarları - Oluşturma veya Güncelleştirme.

Not

Yönetilen bir kimlik kullanarak denetimi yapılandırdığınızda, veritabanını yeni bir sunucuya kopyalamak veya coğrafi replika oluşturmak denetim logingini bozabilir. Bu durum, yeni sunucunun farklı bir yönetilen kimliğe sahip olması ve bunun denetim depolama hesabına erişimi olmaması nedeniyle ortaya çıkar. Yeni sunucunun kimliğinin denetim sürekliliğini korumak için uygun izinlere sahip olduğundan emin olun.

Azure Synapse Analytics denetimi için sistem tarafından atanan yönetilen kimliği yapılandırma

Denetim için bir depolama hesabında UMI tabanlı kimlik doğrulaması kullanılamaz. Azure Synapse Analytics için yalnızca sistem tarafından atanan yönetilen kimlik (SMI) kullanılabilir. SMI kimlik doğrulamasının çalışması için, yönetilen kimliğe depolama hesabının Access Control ayarlarında Storage Blob Data Contributor rolünün atanmış olması gerekir. Bu rol, denetimi yapılandırmak için Azure portalını kullandığınızda otomatik olarak eklenir.

Azure portalında Azure Synapse Analytics için SAS anahtarı veya SMI kimlik doğrulamasını açıkça seçme seçeneği yok.

• Depolama hesabı bir VNet veya güvenlik duvarı arkasındaysa, sistem denetimi SMI kimlik doğrulamasını kullanarak otomatik olarak yapılandırır.

• Depolama hesabı bir VNet veya güvenlik duvarı arkasında değilse, sistem denetimi SAS anahtar tabanlı kimlik doğrulama kullanarak otomatik olarak yapılandırır. Ancak, depolama hesabı bir VNet veya güvenlik duvarı arkasında değilse yönetilen kimlik kullanamazsınız.

Depolama hesabının bir sanal ağın veya güvenlik duvarının arkasında olmasına bakılmaksızın SMI kimlik doğrulamasının kullanılmasını zorlamak için REST API veya PowerShell'i aşağıdaki gibi kullanın:

• REST API'si kullanıyorsanız, istek gövdesinde StorageAccountAccessKey alanını açıkça çıkarın.

  Daha fazla bilgi için bakınız:

  • Sunucu Blobu Denetim İlkeleri - Oluşturma veya Güncelleştirme - REST API (Azure SQL Veritabanı)
  • Veritabanı Blob Denetim İlkeleri - Oluştur veya Güncelleştir - REST API (Azure SQL Veritabanı)

• PowerShell kullanıyorsanız, UseIdentity parametresini true olarak geçirin.

  Daha fazla bilgi için bakınız:

  • Set-AzSqlServerAudit (Az.Sql)
  • Set-AzSqlDatabaseAudit (Az.Sql)

İlgili içerik

• Azure Synapse Analytics içinde denetim
• Denetim kayıtlarını sanal bir ağ ve güvenlik duvarının arkasındaki bir depolama hesabına yaz
• Azure Synapse Analytics için denetimi ayarlayın