你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

为 Azure Synapse Analytics 设置审核

Tip

Microsoft Fabric Data Warehouse是数据湖基础上的企业规模关系仓库，具有未来就绪的体系结构、内置 AI 和新功能。 如果不熟悉数据仓库，请从Fabric Data Warehouse开始。 现有的指定 SQL 池工作负荷可以升级到 Fabric，以跨数据科学、实时分析和报告访问新功能。

在本文中，你将学习如何在 Azure Synapse Analytics 中为你的逻辑服务器或数据库设置审计。

为您的服务器配置审计功能

默认的审计策略包括以下一组动作组，用于审计对数据库执行的所有查询和存储过程，以及成功和失败的登录情况：

  • BATCH_COMPLETED_GROUP
  • SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP
  • FAILED_DATABASE_AUTHENTICATION_GROUP

关于自定义筛选器和编程配置，请参见 使用 API 管理 Azure Synapse Analytics 审核。

注意

无法在暂停的专用 SQL 池上启用审核。 在配置审核之前，请先参阅快速入门：通过 Azure 门户暂停和恢复专用 SQL 池中的计算。

当你在 Azure 门户或 PowerShell cmdlet 中将审核日志配置为发送到 Log Analytics 工作区或事件中心目标时，会创建一个启用了 SQLSecurityAuditEvents 类别的诊断设置。

  1. 在 Azure 门户中，打开 Synapse SQL 服务器资源。
  2. 选择“安全性”下的“审核”。
  3. 启用服务器或数据库层面的审计功能。 服务器级策略适用于该服务器上的每个数据库。 有关选择范围的指导，请参见 服务器和数据库层面的审计策略。
  4. 选择一个或多个目的地：Azure 存储、Log Analytics 或 Event Hubs。
  5. 配置每个目的地，然后保存策略。

将审核数据发送到 Azure 存储目标

要配置将审核日志写入存储账户，请选择 存储，选择账户，并设置保留期限。

  • 如果账户位于虚拟网络或防火墙后面，审计则使用服务器系统分配的托管身份。 为该标识授予存储 Blob 数据参与者角色。
  • 如果账户不在虚拟网络或防火墙后面，门户会配置存储访问密钥认证。

保留值为 0 表示无限保留。 如果你将无限保留改为有限期限，新期限只适用于更改后写入的日志。

关于受保护的存储账户，请参见 “将审计日志写入虚拟网络和防火墙背后的存储账户”。

警告

对于存储身份验证，请使用托管标识。 存储访问密钥存在安全风险，因为一旦被攻破，未经授权的人可能会访问您的存储账户，从而读取、写入或删除您的数据。 为降低这些风险，请定期更换密钥，并使用 Azure 密钥保管库 安全管理和轮换密钥。

对 Log Analytics 目标的审核

选择 Log Analytics，选择 Log Analytics 工作区，然后保存策略。 如果你需要工作区，请参见创建 Log Analytics 工作区。

对事件中心目标的审核

选择 事件中心，选择与Synapse SQL资源同一区域的事件中心，然后保存策略。

当你将 Azure 外部监视器（例如事件中心或 Log Analytics）配置为审计目标时，系统会创建一个名为 SQLSecurityAuditEvents_XXXX-XXXX-XXX 的额外诊断设置资源。 该资源对于审计的正常运作至关重要。

如果你删除诊断设置，无论是有意还是无意，审计功能就会停止工作，审计日志也不会发送到目标地点。 为防止此问题，应配置删除诊断设置的警报，以通知用户并采取必要措施。 有关创建动作组和配置警报的更多信息，请参见 “动作组 ”以及 创建或编辑活动日志、服务健康或资源健康警报规则。

注意

如果你使用多个目标，比如存储账户、Log Analytics 或事件中心，确保对所有目标都有权限。 否则，保存审计配置失败，因为系统会尝试保存所有目标的设置。

相关内容

  • 上次更新时间为