Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Tip
Microsoft Fabric Data Warehouse ist ein relationales Enterprise-Warehouse auf einem Data Lake-Fundament mit zukunftsfähiger Architektur, integrierter KI und neuen Features. Wenn Sie mit Data Warehouse noch nicht vertraut sind, beginnen Sie mit Fabric Data Warehouse. Vorhandene dedizierte SQL-Pool-Workloads können auf Fabric aktualisieren, um neue Funktionen in den Bereichen Data Science, Echtzeitanalyse und Berichterstellung zu nutzen.
In diesem Artikel erfahren Sie, wie Sie Audits für Ihren logischen Server oder Ihre Datenbank in Azure Synapse Analytics einrichten.
Konfigurieren Sie das Auditing für Ihren Server
Die Standardüberwachungsrichtlinie umfasst die folgenden Aktionsgruppen, mit denen alle Abfragen und gespeicherten Prozeduren, die für die Datenbank ausgeführt werden, sowie erfolgreiche und fehlerhafte Anmeldungen überwacht werden:
BATCH_COMPLETED_GROUPSUCCESSFUL_DATABASE_AUTHENTICATION_GROUPFAILED_DATABASE_AUTHENTICATION_GROUP
Für benutzerdefinierte Filter und die programmatische Konfiguration siehe Die Überwachung von Azure Synapse Analytics mithilfe von APIs verwalten.
Note
Sie können die Überwachung nicht für einen angehaltenen dedizierten SQL-Pool aktivieren. Schnellstart: Anhalten und Fortsetzen von Computeressourcen im dedizierten Synapse-SQL-Pool über das Azure-Portal, bevor Sie das Auditing konfigurieren.
Wenn Sie das Auditing für einen Log Analytics-Arbeitsbereich oder für ein Event Hubs-Ziel im Azure-Portal oder im PowerShell-Cmdlet konfigurieren, wird eine Diagnoseeinstellung mit SQLSecurityAuditEvents aktivierter Kategorie erstellt.
- Öffnen Sie im Azure portal die Synapse SQL Server-Ressource.
- Wählen Sie unter "Sicherheit" die Option "Überwachung" aus.
- Aktivieren Sie das Auditing auf Server- oder Datenbankebene. Eine Server-Level-Policy gilt für jede Datenbank auf diesem Server. Hinweise zur Auswahl eines Scopes finden Sie unter Überwachungsrichtlinie auf Server- und Datenbankebene.
- Wählen Sie einen oder mehrere Ziele aus: Azure Storage, Log Analytics oder Event Hubs.
- Konfigurieren Sie jedes Ziel und speichern Sie dann die Richtlinie.
Auditing am Azure Storage-Ziel
Um das Schreiben von Auditprotokollen in ein Speicherkonto zu konfigurieren, wählen Sie Storage, wählen Sie ein Konto und legen Sie die Aufbewahrungszeit fest.
- Wenn sich das Konto hinter einem virtuellen Netzwerk oder einer Firewall befindet, verwendet das Audit die vom Server zugewiesene verwaltete Identität. Verleihen Sie dieser Identität die Rolle Storage Blob Data Contributor .
- Wenn das Konto nicht hinter einem virtuellen Netzwerk oder einer Firewall liegt, konfiguriert das Portal die Authentifizierung mit Speicherkontoschlüssel.
Ein Retentionswert von 0 bedeutet unbegrenzte Aufbewahrung. Wenn du von unbegrenzter Aufbewahrung auf eine begrenzte Frist wechselst, gilt die neue Frist nur für Logs, die nach der Änderung geschrieben wurden.
Für geschützte Speicherkonten siehe Auditprotokolle in ein Speicherkonto hinter einem virtuellen Netzwerk und einer Firewall schreiben.
Warnung
Verwenden Sie für die Speicherauthentifizierung verwaltete Identität. Storage Access Keys stellen ein Sicherheitsrisiko dar, denn wenn sie kompromittiert werden, können unbefugte Personen auf Ihr Speicherkonto zugreifen, möglicherweise Ihre Daten lesen, schreiben oder löschen. Um diese Risiken zu minimieren, rotieren Sie Ihre Schlüssel regelmäßig und nutzen Sie Azure Key Vault, um Ihre Schlüssel sicher zu verwalten und zu rotieren.
Überwachen in Log Analytics-Ziel
Wählen Sie Log Analytics, wählen Sie einen Log Analytics-Arbeitsbereich und speichern Sie die Richtlinie. Wenn Sie einen Arbeitsbereich benötigen, lesen Sie Erstellen eines Log Analytics-Arbeitsbereichs.
Überwachen in Event Hubs-Ziel
Wählen Sie Event Hubs, wählen Sie einen Event Hub in derselben Region wie die Synapse SQL-Ressource und speichern Sie die Policy.
Wenn Sie das Auditing mit Azure externen Monitoren (z. B. Event Hubs oder Log Analytics) als Ziel konfigurieren, erstellt das System eine zusätzliche Diagnose-Einstellungsressource namens SQLSecurityAuditEvents_XXXX-XXXX-XXX. Diese Ressource ist für das ordnungsgemäße Funktionieren der Auditierung unerlässlich.
Wenn du die Diagnoseeinstellungen löschst, ob absichtlich oder unbeabsichtigt, funktioniert die Audit-Funktion nicht mehr und die Audit-Logs werden nicht mehr an den Zielort gesendet. Um dieses Problem zu verhindern, konfigurieren Sie Warnungen für das Löschen von Diagnoseeinstellungen, um Benutzer zu informieren und notwendige Maßnahmen zu ergreifen. Weitere Informationen zum Erstellen von Aktionsgruppen und zur Konfiguration von Warnungen finden Sie unter Aktionsgruppen und Erstellen oder Bearbeiten einer Aktivitätsprotokoll-, Dienstintegritäts- oder Ressourcenzustandswarnungsregel.
Note
Wenn du mehrere Ziele wie ein Speicherkonto, Log Analytics oder Event Hubs verwendest, stelle sicher, dass du für alle Ziele Berechtigungen hast. Andernfalls schlägt das Speichern der Audit-Konfiguration fehl, weil das System versucht, die Einstellungen für alle Ziele zu speichern.