Verwaltete Identität für Auditing verwenden

Gilt für:Azure SQL-Datenbank

Die Überwachung von Azure SQL-Datenbank kann für die Verwendung eines Speicherkontos mit zwei Authentifizierungsmethoden konfiguriert werden:

• Verwaltete Identität
• Speicherzugriffsschlüssel

Die verwaltete Identität kann eine systemseitig zugewiesene verwaltete Identität (SMI) oder benutzerseitig zugewiesene verwaltete Identität (UMI) sein.

Um die Protokollierung in ein Speicherkonto zu konfigurieren, wechseln Sie zum Azure-Portal und wählen Sie die Ressource Ihres logischen Servers für Azure SQL-Datenbank aus. Wählen Sie im Menü Überwachung die Option Speicher aus. Wählen Sie das Azure Storage-Konto aus, in dem die Protokolle gespeichert werden sollen.

Standardmäßig wird die dem Server zugewiesene primäre Benutzeridentität verwendet. Wenn keine Benutzeridentität vorhanden ist, erstellt der Server eine systemseitig zugewiesene verwaltete Identität und verwendet diese für die Authentifizierung.

Wählen Sie den Aufbewahrungszeitraum aus, indem Sie die Erweiterten Eigenschaften öffnen. Wählen Sie dann Speichern aus. Protokolle, die älter als die Aufbewahrungsdauer sind, werden gelöscht.

Benutzerseitig zugewiesene verwaltete Identität

UMI gibt Benutzer*innen die Flexibilität, ihre eigene UMI für einen bestimmten Mandanten zu erstellen und zu verwalten. UMI kann als Serveridentitäten für Azure SQL verwendet werden. Die UMI wird vom Benutzer verwaltet, während eine systemseitig zugewiesene verwaltete Identität (SMI) pro Server eindeutig definiert und vom System zugewiesen wird.

Weitere Informationen zu UMI finden Sie unter Verwaltete Identitäten in Microsoft Entra für Azure SQL.

Konfigurieren einer benutzerseitig zugewiesenen verwalteten Identität für die Überprüfung der Azure SQL-Datenbank

Bevor die Überwachung zum Senden von Protokollen an Ihr Speicherkonto eingerichtet werden kann, muss der dem Server zugewiesenen verwalteten Identität die Rolle Mitwirkender für Storage-Blobdaten zugewiesen werden. Diese Zuweisung ist erforderlich, wenn Sie die Überwachung mithilfe von PowerShell, der Azure-Befehlszeilenschnittstelle, der REST-API oder von ARM-Vorlagen konfigurieren. Die Rollenzuweisung erfolgt automatisch, wenn Sie das Azure-Portal zum Konfigurieren der Überwachung verwenden. Daher sind die folgenden Schritte nicht erforderlich, wenn Sie die Überwachung über das Azure-Portal konfigurieren.

1. Öffnen Sie das Azure-Portal.

2. Erstellen Sie eine benutzerzugewiesene verwaltete Identität, falls noch keine vorhanden ist. Weitere Informationen finden Sie unter Erstellen einer benutzerseitig zugewiesenen verwalteten Identität.

3. Wechseln Sie zu Ihrem Speicherkonto, das Sie für das Auditing konfigurieren möchten.

4. Wählen Sie das Menü Zugriffssteuerung (IAM) aus.

5. Wählen Sie Hinzufügen>Rollenzuweisung hinzufügen.

6. Suchen Sie auf der Registerkarte Rolle nach Storage Blob Data Contributor, und wählen Sie die Option aus. Wählen Sie Weiter aus.

7. Wählen Sie auf der Registerkarte Mitglieder im Abschnitt Zugriff zuweisen zu die Option Verwaltete Identität und dann Mitglieder auswählen aus. Sie können die Managed Identity auswählen, die für Ihren Server erstellt wurde.

8. Wählen Sie Überprüfen und zuweisen aus.

   

Weitere Informationen finden Sie unter Zuweisen von Azure-Rollen über das Azure-Portal.

Gehen Sie wie folgt vor, um die Überwachung mithilfe einer benutzerzugewiesenen verwalteten Identität zu konfigurieren:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Auditing in Azure Synapse Analytics

Informationen zu managed-identity-basiertem Auditing in Azure Synapse Analytics finden Sie unter Auditing using managed identity.

Verwandte Inhalte

• Prüfung von Azure SQL-Datenbank
• Neuerungen bei der Azure SQL-Überwachung
• Erste Schritte bei der Azure SQL Managed Instance-Überwachung
• Auditing für SQL Server