在 Azure Synapse Analytics 中使用托管标识进行审核

Tip

Microsoft Fabric Data Warehouse是数据湖基础上的企业规模关系仓库，具有未来就绪的体系结构、内置 AI 和新功能。 如果不熟悉数据仓库，请从Fabric Data Warehouse开始。 现有的指定 SQL 池工作负荷可以升级到 Fabric，以跨数据科学、实时分析和报告访问新功能。

• 启动Fabric免费试用版。
• 织物数据仓库迁移助手。

配置审计使用带有两种认证方法的 存储账户 ：

• 托管标识
• 存储访问密钥

托管标识可以是系统分配的托管标识 (SMI)，也可以是用户分配的托管标识 (UMI)。

要配置向存储账户写审计日志，进入 Azure 门户，选择你的服务器。 在“审计”菜单中选择“存储”。 选择保存日志的 Azure 存储账户。

默认情况下，使用的标识是分配给服务器的主要用户标识。 如果没有用户标识，服务器将创建系统分配的托管标识并将其用于身份验证。

通过打开“高级属性”选择保持期。 然后选择“保存”。 早于保留期的日志会被删除。

注意

若要在 Azure Synapse Analytics 上设置基于托管标识的审核，请参阅本文后面的为 Azure Synapse Analytics 审核配置系统分配的托管标识部分。

用户分配的管理标识

UMI让你有灵活性，为特定租户创建和维护自己的UMI。 UMI 由你管理；相比之下，系统分配的托管标识是每个服务器所独有的标识，并由系统分配。

配置用户指定的托管身份以进行审计

在设置审计功能以将日志发送到存储账户之前，分配给服务器的托管标识需要被分配 Storage Blob Data Contributor 角色。 如果你使用PowerShell、Azure CLI、REST API或ARM模板进行审计配置，这项分配是必需的。 Azure 门户在你通过门户配置审计时会自动分配角色，所以如果你使用门户，无需遵循这些步骤。

1. 转到 Azure 门户。
2. 如果你还没有用户分配的托管标识，可以创建一个。 有关详细信息，请参阅创建用户分配的标识。
3. 转到要配置以进行审核的存储帐户。
4. 选择访问控制 (IAM) 菜单。
5. 选择“添加”>“添加角色分配”。
6. 在 角色 标签中，搜索并选择 Storage Blob Data Contributor。 选择“下一步”。
7. 在“成员”选项卡中，选择“将访问权限分配给”部分中的“托管标识”，然后选择“选择成员”。 你可以选择你为服务器创建的 托管身份 。
8. 选择审核 + 分配。

有关详细信息，请参阅使用门户分配 Azure 角色。

请使用以下说明，使用用户分配的托管身份来配置审计。

Portal

1. 转到服务器的“标识”菜单。 在“用户分配的托管标识”部分下，选择“添加”添加托管标识。
2. 选择新增的托管标识作为服务器的 主标识。
3. 转到服务器的审计菜单。 为服务器配置“存储”时，选择“托管标识”作为“存储身份验证类型”。

Azure CLI

要使用托管身份，在配置审计时，将 --storage-key 参数作为空字符串传递，以便使用分配给服务器的主托管身份。 下面是一个示例命令：

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

有关详细信息，请参阅 az sql server audit-policy。

PowerShell

要使用托管身份，请将 UseIdentity 参数传递为 True，以使用分配给服务器的主托管身份。 下面是一个示例命令：

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

有关详细信息，请参阅 Set-AzSqlServerAudit。

REST API

要使用主托管标识，请在请求中跳过传递参数 storageAccountAccessKey：

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

有关详细信息，请参阅服务器审核设置 - 创建或更新。

注意

当你使用托管身份配置审计时，将数据库复制到新服务器或创建异地副本可能会导致审核日志记录中断。 这种情况发生是因为新服务器拥有不同的管理身份，可能无法访问审计存储账户。 确保新服务器的身份拥有适当的权限，以维持审计连续性。

为 Azure Synapse Analytics 审核功能配置系统分配的托管标识

对于审核场景，不能使用基于 UMI 的身份验证访问存储帐户。 只有系统分配的托管标识 (SMI) 可用于 Azure Synapse Analytics。 为了使SMI身份验证正常工作，托管身份必须在存储账户的访问控制设置中被分配Storage Blob Data Contributor角色。 如果你用 Azure 门户配置审计，这个角色会自动添加。

在Azure Synapse Analytics的Azure门户中，没有明确选择SAS密钥或SMI认证的选项。

• 如果存储账户位于VNet或防火墙后面，系统会自动通过SMI认证配置审计。

• 如果存储账户未受 VNet 或防火墙保护，系统会自动通过基于 SAS 密钥的身份验证配置审计。 不过，如果存储账户不位于 VNet 或防火墙之后，你就不能使用托管身份。

若要强制使用 SMI 身份验证（无论存储帐户是否受 VNet 或防火墙保护），请使用 REST API 或 PowerShell，如下所示：

• 如果你用的是REST API，请在请求主体中明确省略该 StorageAccountAccessKey 字段。

  有关详细信息，请参见:

  • 服务器 Blob 审核策略 - 创建或更新 - REST API（Azure SQL 数据库）
  • Database Blob Auditing Policies - Create or Update - REST API （Azure SQL 数据库）

• 如果你用的是 PowerShell，将 UseIdentity 参数指定为 true。

  有关详细信息，请参见:

  • Set-AzSqlServerAudit （Az.Sql）
  • Set-AzSqlDatabaseAudit （Az.Sql）

相关内容

• Azure Synapse Analytics 中的审核
• 将审计日志写入虚拟网络和防火墙背后的存储账户
• 为 Azure Synapse Analytics 设置审核