Auditoría mediante identidad administrada

Se aplica a:Azure SQL Database

La auditoría de Azure SQL Database se puede configurar para usar una cuenta de almacenamiento con dos métodos de autenticación:

Identidad administrada
Claves de acceso de almacenamiento

La identidad administrada puede ser una identidad administrada asignada por el sistema (SMI) o asignada por el usuario (UMI).

Para configurar la escritura de registros de auditoría en una cuenta de almacenamiento, vaya a Azure Portal y seleccione su recurso de servidor lógico para Azure SQL Database. Seleccione Almacenamiento en el menú Auditoría. Seleccione la cuenta de almacenamiento de Azure en la que se guardarán los registros.

De forma predeterminada, la identidad que se usa es la identidad de usuario primario asignada al servidor. Si no hay ninguna identidad de usuario, el servidor crea una identidad administrada asignada por el sistema y la usa para la autenticación.

Seleccione el período de retención abriendo las propiedades avanzadas. Después, seleccione Guardar. Los registros anteriores al período de retención se eliminan.

Identidad administrada asignada por el usuario

UMI ofrece a los usuarios flexibilidad para crear y mantener su propia UMI para un tenant determinado. La UMI se puede usar como identidades de servidor para Azure SQL. El usuario administra la UMI, en comparación con una identidad administrada asignada por el sistema, cuya identidad la define exclusivamente el servidor y la asigna el sistema.

Para obtener más información sobre UMI, consulte Identidades administradas en Microsoft Entra para Azure SQL.

Configuración de la identidad administrada asignada por el usuario para la auditoría de Azure SQL Database

Antes de configurar la auditoría para enviar registros a la cuenta de almacenamiento, la identidad administrada asignada al servidor debe tener la asignación de roles Storage Blob Data Contributor. Esta asignación es necesaria si va a configurar la auditoría mediante PowerShell, la CLI de Azure, la API de REST o las plantillas de ARM. La asignación de roles se realiza automáticamente al usar Azure Portal para configurar la auditoría, por lo que los pasos siguientes son innecesarios si va a configurar la auditoría a través de Azure Portal.

Vaya a Azure Portal.
Cree una identidad administrada asignada por el usuario si todavía no lo ha hecho. Para más información, consulte Creación de una identidad administrada asignada por el usuario.
Vaya a la cuenta de almacenamiento en la que desea configurar la auditoría.
Seleccione el menú Control de acceso (IAM).
Seleccione Añadir>Añadir asignación de rol.
En la pestaña Rol, busque y seleccione Storage Blob Data Contributor. Seleccione Next.
En la pestaña Miembros, seleccione Identidad administrada en la sección Asignar acceso a y luego Seleccionar miembros. Puede seleccionar la identidad administrada que se creó para su servidor.
Seleccione Revisar y asignar.

Para obtener más información, consulte Asignar roles de Azure mediante el portal.

Use los elementos siguientes para configurar la auditoría mediante la identidad administrada asignada por el usuario:

Vaya al menú Identity del servidor. En la sección Identidad administrada asignada por el usuario, Agregue la identidad administrada.
A continuación, puede seleccionar la identidad administrada agregada como la Identidad principal del servidor.
Vaya al menú Auditoría del servidor. Seleccione Identidad administrada como Tipo de autenticación de almacenamiento al configurar el Almacenamiento para el servidor.

Para usar una identidad administrada, pase el parámetro --storage-key como una cadena vacía para usar la identidad administrada principal asignada al servidor al configurar la auditoría. Este es un comando de ejemplo:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Para obtener más información, consulte az sql server audit-policy.

Para usar una identidad administrada, pase el parámetro UseIdentity como True para usar la identidad administrada principal asignada al servidor. Este es un comando de ejemplo:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

Para obtener más información, consulte Set-AzSqlServerAudit.

Para usar la identidad administrada principal, omita pasar el parámetro storageAccountAccessKey en la solicitud:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Para más información, consulte Configuración de la auditoría de servidor: creación o actualización.

Nota

Cuando se configura la auditoría mediante una identidad administrada, copiar la base de datos en un nuevo servidor o crear una réplica geográfica puede interrumpir el registro de auditoría. Esto se debe a que el nuevo servidor tiene una identidad administrada diferente, que podría no tener acceso a la cuenta de almacenamiento de auditoría. Asegúrese de que a la identidad del nuevo servidor se le conceden los permisos adecuados para mantener la continuidad de la auditoría.

Auditoría en Azure Synapse Analytics

Para información sobre auditoría basada en identidad gestionada en Azure Synapse Analytics, consulte Auditoría usando identidad gestionada.

Comentarios

¿Le ha resultado útil esta página?

Se actualizó por última vez el 2026-10-16