Escribe registros de auditoría en una cuenta de almacenamiento situada detrás de una red virtual y un cortafuegos en Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse es un almacenamiento relacional de escala empresarial en una base de lago de datos, con una arquitectura lista para el futuro, inteligencia artificial integrada y nuevas características. Si no está familiarizado con el almacenamiento de datos, comience con Fabric Data Warehouse. Las cargas de trabajo del grupo dedicado de SQL pueden actualizarse a Fabric para acceder a funcionalidades avanzadas en ciencia de datos, análisis en tiempo real e informes.

La auditoría de Azure Synapse Analytics permite escribir eventos de base de datos en una cuenta de Azure Storage detrás de una red virtual o cortafuegos.

Important

Cuando una cuenta de almacenamiento está detrás de una red virtual o un firewall, debe utilizar la autenticación de identidad administrada (rol Colaborador de datos de Storage Blob), no las claves de acceso del almacenamiento. El portal de Azure configura esta autenticación automáticamente cuando guardas la configuración de auditoría. Si configura la auditoría mediante la API REST o PowerShell, no especifique storageAccountAccessKey. La identidad gestionada del servidor se autentica en su lugar con la cuenta de almacenamiento.

Background

Azure Virtual Network (VNet) es el bloque de creación fundamental de una red privada en Azure. VNet permite muchos tipos de recursos de Azure, como Azure Virtual Machines (máquinas virtuales), para comunicarse de forma segura entre usuarios, con Internet y con las redes locales. VNet es similar a una red tradicional en tu propio centro de datos, pero aporta beneficios adicionales de la infraestructura de Azure, como escala, disponibilidad y aislamiento.

Para saber más sobre los conceptos de VNet, mejores prácticas y más, consulta Qué es Azure Virtual Network.

Para obtener más información sobre cómo crear una red virtual, vea Inicio rápido: Creación de una red virtual mediante Azure Portal.

Prerequisites

  • Utiliza una cuenta de almacenamiento v2 de propósito general o una cuenta premium de BlockBlobStorage. Para actualizar una cuenta antigua, consulta Actualizar a una cuenta de almacenamiento v2 de propósito general.
  • Se soporta almacenamiento premium con BlockBlobStorage.
  • Coloca la cuenta de almacenamiento en el mismo tenant y región que el servidor SQL de Synapse.
  • En la página de red de cuentas de almacenamiento, activa Permitir servicios de Azure en la lista de servicios confiables para acceder a esta cuenta de almacenamiento.
  • Conceda a la identidad administrada asignada por el sistema del servidor el rol Colaborador de datos de Storage Blob en la cuenta de almacenamiento. Necesitas Microsoft.Authorization/roleAssignments/write permiso para crear la asignación de rol.

Si activaste la auditoría antes de que la cuenta de almacenamiento estuviera detrás de un cortafuegos, guarda de nuevo la configuración de auditoría para que los registros de auditoría puedan volver a escribirse en la cuenta de almacenamiento.

Configuración de la auditoría en el portal de Azure

  1. En Azure Portal, abra el recurso de servidor SQL de Synapse o del grupo de SQL.

  2. En Seguridad, selecciona Auditoría y luego activa la auditoría.

  3. Selecciona Almacenamiento y elige la cuenta de almacenamiento que cumpla con los requisitos previos.

  4. Abra Detalles del almacenamiento y compruebe que el portal indica que se utiliza la autenticación de identidad administrada.

    Note

    Si la cuenta de almacenamiento seleccionada está detrás de una red virtual, ves el siguiente mensaje:

    You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

    Si no ves este mensaje, la cuenta de almacenamiento no está detrás de una red virtual.

  5. Selecciona un periodo de retención y luego guarda la configuración de auditoría.

Cuando guardas la configuración, el portal otorga a la identidad asignada por el sistema el rol de almacenamiento requerido si tienes permiso para crear asignaciones de roles.

Configurar la auditoría programáticamente

Cuando configures la auditoría a través de PowerShell o la API REST, no proporciones una clave de acceso a la cuenta de almacenamiento. Omitir la clave hace que la política de auditoría utilice la identidad gestionada asignada por el sistema al servidor.

Para más detalles sobre el comportamiento de la identidad, consulta Auditoría usando identidad gestionada en Azure Synapse Analytics.

Contenido relacionado

  • Se actualizó por última vez el