你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Azure Synapse Analytics 中的审核

Tip

Microsoft Fabric Data Warehouse是数据湖基础上的企业规模关系仓库，具有未来就绪的体系结构、内置 AI 和新功能。 如果不熟悉数据仓库，请从Fabric Data Warehouse开始。 现有的指定 SQL 池工作负荷可以升级到 Fabric，以跨数据科学、实时分析和报告访问新功能。

Azure Synapse Analytics审计跟踪数据库事件并将其写入Azure 存储、Azure Monitor Log Analytics工作区或Azure 事件中心。

审核可帮助你：

  • 保留选定事件的审核痕迹。
  • 了解数据库活动并调查异常或差异。
  • 通过查询、工作簿和下游监控工具来报告活动。
  • 支持监管和组织合规要求。 审计本身并不能保证合规。

Overview

可使用 SQL 数据库审核来：

  • 保留 选定事件的审核记录。 可以定义要审核的数据库操作的类别。
  • 报告 数据库活动。 可以使用预配置的报告和仪表板快速开始使用活动和事件报告。
  • 分析报告。 可以查找可疑事件、异常活动和趋势。

Important

审计针对SQL池的可用性和性能进行了优化。 在活动量极高或网络负载极高的时期，交易仍可能继续进行，而并非每个选定事件都会被记录。

对于在运行大量繁重 OLTP 工作负载的数据库的环境中，使用具有默认设置的服务器级审计可能会导致逻辑服务器上的审计量变得非常大。 由于所有数据库中的所有事件都写入到同一个审核文件夹中，因此查询单个数据库的审核日志的速度变慢且作成本高昂。 提高性能和降低噪音：

  • 切换到数据库级审核。 每个数据库写入其自己的审核日志文件夹，从而减少扫描的总卷数，并加快检索速度。
  • 查看审核配置。 确定捕获所有批处理完成的事件是否是必需的，或者自定义筛选的配置是否可以满足安全性和符合性要求。

保护审计日志中的敏感信息

当应用程序将这些值串接到动态SQL时，审计语句文本可能包含敏感值。 使用数据值参数，避免在查询文本中嵌入秘密或个人数据，并限制审计日志访问仅限授权用户。

审计目标的权限控制了SQL引擎之外的访问。 对 Azure 存储、Log Analytics 和 Event Hubs 应用最小权限，并监控对这些资源的访问情况。

Limitations

  • 无法在暂停的专用 SQL 池上启用审核。 在启用策略前恢复池。
  • Azure Synapse Analytics 不支持使用用户分配的托管身份进行审计。
  • 当存储帐户位于虚拟网络或防火墙后方时，Azure 存储 目标支持系统分配的托管标识。 除非存储账户位于虚拟网络或防火墙后方，否则 Azure Synapse 不支持托管身份。
  • Synapse SQL 池仅支持默认的审计动作组。
  • 名称中包含 ? 字符的数据库不支持审核。 这一限制适用于服务器级和数据库级审计，因为名称中带有的数据库在 Azure 上?。
  • 审计记录在 statement 和 data_sensitivity_information 字段中存储多达 4,000 个字符。 额外字符被截断。

Remarks

  • 由 SQLDBControlPlaneFirstPartyApp 在活动日志中发起的事件是 Azure SQL 数据库 控制平面 的内部 Azure 功能。 由 SQLDBControlPlaneFirstPartyApp 发起的事件是 SQL 引擎和Azure 资源管理器之间的内部同步操作的一部分。 这些事件是 Azure SQL 数据库管理的正常组成部分，它们在 Azure 中正确的资源表示和运行不可或缺。
  • 支持与BlockBlobStorage配合使用的高级存储。 支持标准存储。 但是，要将审核日志写入虚拟网络或防火墙后面的存储帐户，必须使用常规用途 v2 存储帐户。 如果你使用通用v1或Blob 存储账户，请升级到通用v2存储账户。 具体说明请参见 “将审计日志写入虚拟网络和防火墙背后的存储账户”。 有关详细信息，请参阅存储帐户的类型。
  • 当你启用 SQL 审计并配置 出站网络 限制时，必须将审计存储账户的完全限定域名加入允许列表，以确保审计事件能够到达目的地。 如果你没有将存储端点加入允许列表，审计流量会被阻止，导致审计事件丢失。 在将所需的存储账户FQDNS添加到允许列表后，您必须 重新保存 审计配置以恢复正常审计事件流程。
  • 所有类型的标准存储帐户和使用 BlockBlobStorage 的高级存储帐户，均可启用分层命名空间。
  • 审计日志会写入您 Azure 订阅中的 Azure Blob 存储 的 Append Blobs。
  • 审核日志的格式为 .xel，可以使用 SQL Server Management Studio (SSMS) 打开。
  • 若要为服务器或数据库级审核事件配置不可变的日志存储，请遵循 Azure 存储提供的说明。 配置要审核的不可变 Blob 存储时，请确保将允许受保护的追加写入设置为追加 Blob 或块和追加 Blob。 不支持 “无” 选项。 对于基于时间的保留策略，存储帐户的保留间隔必须短于 SQL 审核保留设置。 不支持设置存储策略但 SQL 审核保留为 0 的配置。
  • 可以将审核日志写入到虚拟网络或防火墙后面的 Azure 存储帐户。
  • 有关日志格式、存储文件夹层级和命名规范的详细信息，请参见 审计日志格式。
  • 使用 Microsoft Entra 身份验证时，失败的登录记录不会出现在 SQL 审核日志中。 要查看失败的登录审核记录，需要访问 Microsoft Entra 管理中心，那里记录了这些事件的详细信息。
  • 在配置好审计设置后，你可以开启新的威胁检测功能，并配置电子邮件通知以接收安全警报。 使用威胁检测时，你会收到针对异常数据库活动（可能表示存在潜在的安全威胁）发出的前瞻性警报。 有关详细信息，请参阅 SQL 高级威胁防护。
  • 将启用了审核的数据库复制到另一个逻辑服务器后，你可能会收到一封电子邮件，通知你审核失败。 这一状况是已知问题，审计应可在新复制的数据库上按预期正常工作。

相关内容

  • 上次更新时间为