Écrire des journaux d’audit sur un compte de stockage derrière un réseau virtuel et un pare-feu dans Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse est un entrepôt relationnel à l’échelle de l’entreprise sur une base de lac de données, avec une architecture future, une IA intégrée et de nouvelles fonctionnalités. Si vous débutez avec l'entreposage de données, commencez par Fabric Data Warehouse. Les charges de travail de pool SQL existantes dédicées peuvent être mises à niveau vers Fabric pour accéder à de nouvelles fonctionnalités dans la science des données, l’analytique en temps réel et la création de rapports.

L’audit Azure Synapse Analytics permet d’écrire des événements de base de données sur un compte stockage Azure derrière un réseau virtuel ou un pare-feu.

Important

Lorsqu’un compte de stockage se trouve derrière un réseau virtuel ou un pare-feu, vous devez utiliser l’authentification identité managée (rôle Contributeur aux données Blob du stockage) et non les clés d’accès au stockage. Le portail Azure configure automatiquement cette authentification lorsque vous enregistrez vos paramètres d’audit. Si vous configurez l’audit à l’aide de l’API REST ou de PowerShell, ne spécifiez pas de storageAccountAccessKey. L’identité gérée du serveur s’authentifie plutôt au compte de stockage.

Background

Réseau virtuel Azure (réseau virtuel) est le bloc de construction fondamental de votre réseau privé dans Azure. VNet permet à de nombreux types de ressources Azure, comme les Machines Virtuelles Azure (VM), de communiquer en toute sécurité entre elles, avec Internet et les réseaux locaux. VNet est similaire à un réseau traditionnel dans votre propre centre de données, mais il apporte des avantages supplémentaires à l’infrastructure Azure tels que l’échelle, la disponibilité et l’isolement.

Pour en savoir plus sur les concepts VNet, les bonnes pratiques et bien plus encore, consultez Qu’est-ce qu’Réseau virtuel Azure.

Pour en savoir plus sur la création d’un réseau virtuel, consultez Démarrage rapide : Créer un réseau virtuel avec le portail Azure.

Prerequisites

  • Utilisez un compte de stockage v2 polyvalent ou un compte premium BlockBlobStorage. Pour mettre à jour un compte plus ancien, voir Passer à un compte de stockage v2 polyvalent.
  • Le stockage premium avec BlockBlobStorage est pris en charge.
  • Placez le compte de stockage dans le même tenant et la même région que le serveur SQL Synapse.
  • Sur la page réseau des comptes de stockage, activez Autoriser les services Azure dans la liste des services de confiance pour accéder à ce compte de stockage.
  • Accorder à l’identité gérée assignée par le système du serveur le rôle Storage Blob Data Contributor sur le compte de stockage. Vous devez disposer de l’autorisation Microsoft.Authorization/roleAssignments/write pour créer l’attribution du rôle.

Si vous avez activé l’audit avant que le compte de stockage ne soit protégé par un pare-feu, enregistrez de nouveau les paramètres d’audit afin que les journaux d’audit puissent recommencer à être écrits dans le compte.

Configurer l’audit dans le portail Azure

  1. Dans le portail Azure, ouvrez le serveur SQL Synapse ou la ressource du pool SQL.

  2. Dans Sécurité, sélectionnez Audit, puis activez l’audit.

  3. Sélectionnez Stockage, puis sélectionnez le compte de stockage qui remplit les prérequis.

  4. Ouvrez les détails du stockage et vérifiez que le portail indique que l’authentification d’identité gérée est utilisée.

    Note

    Si le compte de stockage sélectionné est derrière un réseau virtuel, vous voyez le message suivant :

    You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

    Si vous ne voyez pas ce message, le compte de stockage n’est pas derrière un réseau virtuel.

  5. Sélectionnez une période de rétention, puis enregistrez les paramètres d’audit.

Lorsque vous sauvegardez les paramètres, le portail accorde à l’identité assignée au système le rôle de stockage requis si vous avez la permission de créer des attributions de rôle.

Configurer l’audit par programmation

Lorsque vous configurez un audit via PowerShell ou l’API REST, ne fournissez pas de clé d’accès au compte de stockage. Omettre la clé fait que la stratégie d’audit utilise l’identité managée affectée par le système du serveur.

Pour plus de détails sur le comportement identitaire, voir Audit avec une identité managée dans Azure Synapse Analytics.

Contenu connexe

  • Dernière mise à jour :