通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

DatabaseBlobAuditingPolicy 类

  • 参考

数据库 Blob 审核策略。

变量仅由服务器填充，在发送请求时将被忽略。

继承
azure.mgmt.sql.models._models_py3.ProxyResource
DatabaseBlobAuditingPolicy

构造函数

DatabaseBlobAuditingPolicy(*, retention_days: int | None = None, audit_actions_and_groups: List[str] | None = None, is_storage_secondary_key_in_use: bool | None = None, is_azure_monitor_target_enabled: bool | None = None, queue_delay_ms: int | None = None, state: str | BlobAuditingPolicyState | None = None, storage_endpoint: str | None = None, storage_account_access_key: str | None = None, storage_account_subscription_id: str | None = None, **kwargs)

参数

名称 说明
retention_days
必需
int

指定要在存储帐户的审核日志中保留的天数。
audit_actions_and_groups
必需
list[str]

指定要审核的Actions-Groups和操作。

建议使用的操作组集如下组合 - 这将审核针对数据库执行的所有查询和存储过程，以及成功和失败的登录：

BATCH_COMPLETED_GROUP、SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP、FAILED_DATABASE_AUTHENTICATION_GROUP。

上述组合也是从Azure 门户启用审核时默认配置的集。

要审核的受支持操作组 (注意：仅选择满足审核需求的特定组。使用不必要的组可能会导致大量审核记录) ：

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP

这些组涵盖针对数据库执行的所有 sql 语句和存储过程，不应与其他组结合使用，因为这将导致重复的审核日志。

有关详细信息，请参阅 数据库级审核操作组。

对于数据库审核策略，还可以指定特定操作 (请注意，不能为服务器审核策略指定操作) 。 支持审核的操作包括：SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES

用于定义要审核的操作的一般形式是：{action} ON {object} BY {principal}

请注意， <object> 上述格式可以引用对象，例如表、视图或存储过程，或者整个数据库或架构。 对于后一种情况，将分别使用形式 DATABASE：：{db_name} 和 SCHEMA：：{schema_name}。

例如：DBo.myTable 上的 SELECT by public SELECT on DATABASE：：myDatabase by public SELECT on SCHEMA：：mySchema by public SELECT by public

有关详细信息，请参阅 数据库级审核操作。
is_storage_secondary_key_in_use
必需
bool

指定 storageAccountAccessKey 值是否为存储的辅助密钥。
is_azure_monitor_target_enabled
必需
bool

指定是否将审核事件发送到 Azure Monitor。 若要将事件发送到 Azure Monitor，请将“State”指定为“Enabled”，将“IsAzureMonitorTargetEnabled”指定为 true。

使用 REST API 配置审核时，还应在数据库上创建具有“SQLSecurityAuditEvents”诊断日志类别的诊断设置。 请注意，对于服务器级别审核，应将“master”数据库用作 {databaseName}。

诊断设置 URI 格式：PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft。Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}？api-version=2017-05-01-preview

有关详细信息，请参阅 诊断设置 REST API 或 诊断设置 PowerShell。
queue_delay_ms
必需
int

指定在强制处理审核操作之前可以等待的时间（毫秒）。 默认的最小值为 1000（1 秒）。 最大值为 2，147，483，647。
state
必需
str 或 BlobAuditingPolicyState

指定审核的状态。 如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。 可能的值包括：“Enabled”、“Disabled”。
storage_endpoint
必需
str

指定 blob 存储终结点 (例如 https://MyAccount.blob.core.windows.net) 。 如果状态为 Enabled，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
storage_account_access_key
必需
str

指定审核存储帐户的标识符密钥。 如果状态为“已启用”并指定 storageEndpoint，则不指定 storageAccountAccessKey 将使用 SQL Server 系统分配的托管标识来访问存储。 使用托管标识身份验证的先决条件：

  1. 在 Azure Active Directory (AAD) 中分配SQL Server系统分配的托管标识。

#. 通过将“存储 Blob 数据参与者”RBAC 角色添加到服务器标识，授予SQL Server标识对存储帐户的访问权限。

有关详细信息，请参阅 >>'<<使用托管标识身份验证审核存储

<https://go.microsoft.com/fwlink/?linkid=2114355>`_.
storage_account_subscription_id
必需
str

指定 Blob 存储订阅 ID。

仅限关键字的参数

名称 说明
retention_days
必需
audit_actions_and_groups
必需
is_storage_secondary_key_in_use
必需
is_azure_monitor_target_enabled
必需
queue_delay_ms
必需
state
必需
storage_endpoint
必需
storage_account_access_key
必需
storage_account_subscription_id
必需

变量

名称 说明
id
str

资源 ID。
name
str

资源名称。
type
str

资源类型。
kind
str

资源类型。