Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Gilt für:
Azure SQL-Datenbank
Dieser Artikel erklärt, wie Sie ein Audit für Ihren logischen Server oder Ihre Datenbank in der Azure SQL-Datenbank einrichten.
Konfigurieren der Auditierung für Ihren Server
Die Standardüberwachungsrichtlinie umfasst die folgenden Aktionsgruppen, mit denen alle Abfragen und gespeicherten Prozeduren, die für die Datenbank ausgeführt werden, sowie erfolgreiche und fehlerhafte Anmeldungen überwacht werden:
BATCH_COMPLETED_GROUPSUCCESSFUL_DATABASE_AUTHENTICATION_GROUPFAILED_DATABASE_AUTHENTICATION_GROUP
Um die Überwachung für verschiedene Aktionstypen und Aktionsgruppen mithilfe von PowerShell zu konfigurieren, finden Sie unter Verwalten der Überwachung von Azure SQL-Datenbank mithilfe von APIs.
Im folgenden Abschnitt wird die Konfiguration der Überwachung/Auditing über das Azure-Portal beschrieben.
Hinweis
Wenn die Überwachung für einen Log Analytics-Arbeitsbereich oder ein Event Hubs-Ziel über das Azure-Portal oder mithilfe eines PowerShell-Cmdlets konfiguriert wurde, wird eine Diagnostic Setting mit aktivierter Kategorie SQLSecurityAuditEvents erstellt.
Öffnen Sie das Azure-Portal.
Navigieren Sie im Bereich für die SQL-Datenbank oder den SQL Server unter der Überschrift Sicherheit zu Überwachung.
Wenn Sie eine Serverüberwachungsrichtlinie einrichten möchten, wählen Sie auf dem Blatt für die Datenbanküberwachung den Link Servereinstellungen anzeigen aus. Anschließend können Sie die Serverüberprüfungseinstellungen anzeigen oder ändern. Serverüberwachungsrichtlinien gelten für alle vorhandenen und neu erstellten Datenbanken auf diesem Server.
Wenn Sie Auditing auf Datenbankebene aktivieren möchten, ändern Sie Auditing in ON. Wenn das Serveraudit aktiviert ist, besteht das datenbankkonfigurierte Audit neben dem Serveraudit.
Sie haben mehrere Optionen zur Auswahl, um zu konfigurieren, wo Überwachungsprotokolle gespeichert werden. Sie können die Protokolle in ein Azure Storage-Konto, in einen Log Analytics-Arbeitsbereich zur Verwendung durch Azure Monitor-Protokolle oder in einen Event Hub zur Verwendung über Event Hub schreiben. Sie können eine beliebige Kombination dieser Optionen konfigurieren, und die Überwachungsprotokolle werden zu jeder geschrieben.
Audit zum Speicherziel
Sie können das Schreiben von Überwachungsprotokollen in ein Speicherkonto konfigurieren, indem Sie im Abschnitt Überwachung auf Speicher klicken. Wählen Sie das Azure-Speicherkonto aus, in dem Sie Ihre Protokolle speichern möchten. Sie können die folgenden beiden Speicherauthentifizierungstypen verwenden: verwaltete Identität und Speicherzugriffsschlüssel. Bei verwalteten Identitäten werden sowohl systemseitig zugewiesene als auch vom Benutzer zugewiesene verwaltete Identitäten unterstützt. Standardmäßig ist die dem Server zugewiesene primäre Benutzeridentität ausgewählt. Wenn es keine Benutzeridentität gibt, wird eine systemseitig zugewiesene verwaltete Identität erstellt und für Authentifizierungszwecke verwendet. Nachdem Sie einen Authentifizierungstyp ausgewählt haben, wählen Sie einen Aufbewahrungszeitraum aus, indem Sie Erweiterte Eigenschaften öffnen und Speichern auswählen. Protokolle, die älter als die Aufbewahrungsdauer sind, werden gelöscht.
Wenn Sie die Bereitstellung über das Azure-Portal durchführen, stellen Sie sicher, dass sich das Speicherkonto in derselben Region wie Ihre Datenbank und Ihren Server befindet. Wenn Sie über andere Methoden bereitstellen, kann sich das Speicherkonto in einer beliebigen Region befinden.
Warnung
Verwenden Sie für die Speicherauthentifizierung verwaltete Identität. Speicherzugriffsschlüssel stellen ein Sicherheitsrisiko dar, denn wenn sie kompromittiert werden, können nicht autorisierte Personen Zugriff auf Ihr Speicherkonto erhalten, ihre Daten möglicherweise lesen, schreiben oder löschen. Um diese Risiken zu minimieren, müssen Sie Ihre Schlüssel regelmäßig drehen und Azure Key Vault verwenden, um Ihre Schlüssel sicher zu verwalten und zu drehen.
- Der Standardwert für die Beibehaltungsdauer ist „0“ (unbegrenzte Aufbewahrung). Sie können diesen Wert ändern, indem Sie den Schieberegler Aufbewahrung (Tage) in den Erweiterten Eigenschaften verschieben, wenn Sie das Speicherkonto für die Überprüfung konfigurieren.
- Wenn Sie die Aufbewahrungsdauer von „0“ (unbegrenzte Aufbewahrung) auf einen anderen Wert ändern, gilt die Aufbewahrungsdauer nur für Protokolle, die nach der Änderung des Aufbewahrungswerts geschrieben werden. Protokolle, die in dem Zeitraum geschrieben wurden, in dem die Aufbewahrung auf „unbegrenzt“ festgelegt war, bleiben auch nach Aktivierung der Aufbewahrung erhalten.
Audit an Log Analytics-Ziel
Wählen Sie zum Konfigurieren des Schreibens von Überwachungsprotokollen in einen Log Analytics-Arbeitsbereich Log Analytics aus, und öffnen Sie Details zu Log Analytics. Wählen Sie den Log Analytics-Arbeitsbereich aus, in dem die Protokolle, die Sie speichern möchten, gespeichert werden sollen, und wählen Sie dann OK aus. Wenn Sie noch keinen Log Analytics-Arbeitsbereich erstellt haben, finden Sie unter Erstellen eines Log Analytics-Arbeitsbereichs über das Azure-Portal einen Leitfaden.
Überwachung an Event Hubs-Ziel
Wählen Sie zum Konfigurieren des Schreibvorgangs für Überwachungsprotokolle in einen Event Hub Event Hub aus. Wählen Sie den Event Hub aus, in dem Sie die Protokolle speichern möchten, und wählen Sie dann Speichern aus. Achten Sie darauf, dass sich der Event Hub in derselben Region wie Ihre Datenbank und der Server befindet.
Wenn die Überwachung mit externen Azure-Monitoren (z. B. Event Hubs oder Log Analytics) als Ziel konfiguriert ist, wird eine zusätzliche Diagnoseeinstellungsressource namens SQLSecurityAuditEvents_XXXX-XXXX-XXX erstellt, was für das ordnungsgemäße Funktionieren der Überwachung von entscheidender Bedeutung ist.
Wenn die Diagnoseeinstellungen gelöscht werden, entweder absichtlich oder unbeabsichtigt, schlägt die Überwachungsfunktion im Hintergrund fehl, und Überwachungsprotokolle werden nicht an den Zielspeicherort gesendet. Um dies zu verhindern, konfigurieren Sie Warnungen für das Löschen von Diagnoseeinstellungen, um Benutzer zu benachrichtigen und erforderliche Aktionen auszuführen. Weitere Informationen zum Erstellen von Aktionsgruppen und zum Konfigurieren von Warnungen finden Sie unter "Aktionsgruppen " , "Erstellen oder Bearbeiten eines Aktivitätsprotokolls", "Dienststatus" oder einer Warnungsregel für den Ressourcenstatus.
Hinweis
Wenn Sie mehrere Ziele wie Speicherkonto, Log Analytics oder Event Hubs verwenden, stellen Sie sicher, dass Sie über Berechtigungen für alle Ziele verfügen, oder das Speichern der Überwachungskonfiguration schlägt fehl, wenn versucht wird, die Einstellungen für alle Ziele zu speichern.
Auditing in Azure Synapse Analytics
Informationen zum Einrichten von Auditing in Azure Synapse Analytics finden Sie unter Überwachung einrichten.