Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Tip
Microsoft Fabric Data Warehouse ist ein relationales Enterprise-Warehouse auf einem Data Lake-Fundament mit zukunftsfähiger Architektur, integrierter KI und neuen Features. Wenn Sie mit Data Warehouse noch nicht vertraut sind, beginnen Sie mit Fabric Data Warehouse. Vorhandene dedizierte SQL-Pool-Workloads können auf Fabric aktualisieren, um neue Funktionen in den Bereichen Data Science, Echtzeitanalyse und Berichterstellung zu nutzen.
Azure Synapse Analytics Auditing unterstützt das Schreiben von Datenbankereignissen zu einem Azure Storage-Konto hinter einem virtuellen Netzwerk oder einer Firewall.
Important
Wenn sich ein Speicherkonto hinter einem virtuellen Netzwerk oder einer Firewall befindet, müssen Sie die Verwaltete Identitätsauthentifizierung (Rolle "Storage Blob Data Contributor") verwenden und keine Speicherzugriffsschlüssel verwenden. Das Azure-Portal konfiguriert diese Authentifizierung automatisch, wenn Sie Ihre Audit-Einstellungen speichern. Wenn du das Auditing mit der REST-API oder PowerShell konfigurierst, gib kein storageAccountAccessKey an. Die verwaltete Identität des Servers authentifiziert sich stattdessen bei dem Speicherkonto.
Hintergrund
Azure Virtual Network (VNet) ist der grundlegende Baustein für Ihr privates Netzwerk in Azure. Mit VNET können zahlreiche Arten von Azure-Ressourcen (beispielsweise virtuelle Azure-Computer) sicher untereinander sowie mit dem Internet und mit lokalen Netzwerken kommunizieren. VNet ähnelt einem traditionellen Netzwerk in Ihrem eigenen Rechenzentrum, bringt aber zusätzliche Vorteile der Azure-Infrastruktur wie Skalierbarkeit, Verfügbarkeit und Isolation mit sich.
Um mehr über die VNet-Konzepte, Best Practices und mehr zu erfahren, siehe What is Azure Virtual Network.
Weitere Informationen zum Erstellen eines virtuellen Netzwerks finden Sie unter Schnellstart: Erstellen eines virtuellen Netzwerks im Azure-Portal.
Prerequisites
- Verwenden Sie ein allgemeines v2-Speicherkonto oder ein Premium-BlockBlobStorage-Konto. Um ein älteres Konto zu aktualisieren, siehe Upgrade auf ein Allzweckspeicherkonto vom Typ v2.
- Premium-Speicher mit BlockBlobStorage wird unterstützt.
- Platziere das Speicherkonto im selben Tenant und in derselben Region wie der Synapse SQL-Server.
- Auf der Netzwerkseite des Speicherkontos aktivieren Sie Azure-Diensten auf der Liste vertrauenswürdiger Dienste den Zugriff auf dieses Speicherkonto erlauben.
- Verleihen Sie der systemzugewiesenen verwalteten Identität des Servers die Rolle Storage Blob Data Contributor für das Speicherkonto. Du brauchst die Berechtigung
Microsoft.Authorization/roleAssignments/write, um die Rollenzuweisung zu erstellen.
Wenn du das Auditing aktiviert hast, bevor das Speicherkonto hinter einer Firewall war, speichere die Audit-Einstellungen erneut, damit die Audit-Logs wieder auf das Konto geschrieben werden können.
Konfigurieren der Überwachung im Azure-Portal
Öffnen Sie im Azure-Portal den Synapse SQL Server oder die SQL Pool Ressource.
Unter Sicherheit wählen Sie Auditing und aktivieren Sie dann Auditing.
Wählen Sie Storage aus, und wählen Sie das Speicherkonto, das die Voraussetzungen erfüllt.
Öffnen Sie Speicherdetails und überprüfen Sie, ob das Portal anzeigt, dass eine verwaltete Identitätsauthentifizierung verwendet wird.
Note
Wenn sich das ausgewählte Speicherkonto hinter einem virtuellen Netzwerk befindet, sehen Sie folgende Meldung:
You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.Wenn du diese Meldung nicht siehst, befindet sich das Speicherkonto nicht hinter einem virtuellen Netzwerk.
Wählen Sie eine Aufbewahrungszeit und speichern Sie dann die Audit-Einstellungen.
Wenn du die Einstellungen speicherst, gewährt das Portal der systemzugeordneten Identität die erforderliche Speicherrolle, wenn du die Berechtigung hast, Rollenzuweisungen zu erstellen.
Auditing programmgesteuert konfigurieren
Wenn du das Audit über PowerShell oder die REST-API konfigurierst, gib keinen Zugriffsschlüssel für das Speicherkonto an. Das Weglassen des Schlüssels führt dazu, dass die Audit-Richtlinie die vom Server zugewiesene verwaltete Identität verwendet.
- PowerShell: Set-AzSqlServerAudit und Set-AzSqlDatabaseAudit
- REST-API: Server-Audit-Einstellungen – Erstellen oder aktualisieren und Datenbank-Audit-Einstellungen – Erstellen oder aktualisieren
- Azure Resource Manager: Microsoft. Synapse workspaces/sqlPools/auditingSettings
Für Details zum Identitätsverhalten siehe Auditing using managed identity in Azure Synapse Analytics.