Audit avec une identité managée

S’applique à :Azure SQL Database

L’audit pour Azure SQL Database peut être configuré pour utiliser un compte de stockage avec deux méthodes d’authentification :

  • Identité managée
  • Clés d’accès au stockage

L’identité managée peut être une identité managée affectée par le système (SMI) ou une identité managée affectée par l’utilisateur (UMI).

Pour configurer l’écriture de journaux d’audit dans un compte de stockage, accédez au Portail Azure, puis sélectionnez votre ressource de serveur logique pour Azure SQL Database. Sélectionnez Stockage dans le menu Audit. Sélectionnez le compte de stockage Azure dans lequel les journaux seront enregistrés.

Par défaut, l’identité utilisée est l’identité d’utilisateur principal attribuée au serveur. S’il n’existe pas d’identité d’utilisateur, le serveur crée une identité managée affectée par le système et l’utilise pour l’authentification.

Capture d’écran du menu Audit dans le portail Azure et sélection de l’identité managée comme type d’authentification de stockage.

Sélectionnez la période de rétention en ouvrant Propriétés avancées. Ensuite, sélectionnez Enregistrer. Une fois la période de conservation écoulée, les journaux sont supprimés.

Identité managée attribuée par l’utilisateur

UMI offre aux utilisateurs la possibilité de créer et de gérer leur propre UMI pour un locataire donné. Les UMI peuvent être utilisées en tant qu’identités de serveur pour Azure SQL. Cette identité est managée par l’utilisateur, là où pour une identité managée affectée par le système, elle est définie de manière unique par le serveur et affectée par le système.

Pour plus d’informations sur UMI, consultez Identités managées dans Microsoft Entra pour Azure SQL.

Configurer l’identité gérée affectée par l’utilisateur pour l’audit d’Azure SQL Database

Avant de pouvoir configurer l’audit pour l’envoi de journaux à votre compte de stockage, l’identité managée affectée au serveur doit avoir le rôle Contributeur aux données Blob du stockage. Cette affectation est nécessaire si vous configurez l’audit en utilisant PowerShell, Azure CLI, l’API REST ou des modèles ARM. L’attribution de rôle est effectuée automatiquement lors de l’utilisation du portail Azure pour configurer l’audit. Les étapes suivantes sont donc inutiles si vous configurez l’audit via le portail Azure.

  1. Accédez au portail Azure.

  2. Créez une identité managée attribuée par l’utilisateur, si vous ne l’avez pas encore fait. Pour plus d’informations, consultez Créer une identité managée affectée par l’utilisateur.

  3. Accédez au compte de stockage que vous souhaitez configurer pour l’audit.

  4. Sélectionnez le menu Contrôle d’accès (IAM).

  5. Sélectionnez Ajouter>Ajouter une attribution de rôle.

  6. Sous l’onglet Rôle, recherchez et sélectionnez Storage Blob Data Contributor. Sélectionnez Suivant.

  7. Sous l’onglet Membres, sélectionnez Identité managée dans la section Attribuer l’accès à, puis Sélectionner des membres. Vous pouvez sélectionner l’identité managée qui a été créée pour votre serveur.

  8. Sélectionnez Vérifier et attribuer.

    Capture d’écran de l’affectation du Contributeur de données Blob de stockage à l’identité managée dans le portail Azure.

Pour plus d’informations, consultez Attribuer des rôles Azure à l’aide du portail.

Suivez les étapes suivantes pour configurer l’audit en utilisant une identité managée affectée par l’utilisateur :

  1. Accédez au menu Identity pour votre serveur. Sous la section Identité managée affectée par l’utilisateur, ajoutez l’identité managée.

  2. Vous pouvez ensuite sélectionner l’identité managée que vous venez d’ajouter en tant qu’identité principale de votre serveur.

    Capture d’écran du menu Identité dans le portail Azure et sélection de l’identité principale.

  3. Accédez au menu Auditing du serveur. Sélectionnez Identité managée en tant que Type d’authentification du stockage au moment de configurer le Stockage pour votre serveur.

Note

Lorsque l’audit est configuré à l’aide d’une identité managée, la copie de la base de données sur un nouveau serveur ou la création d’un géo-réplica peuvent interrompre la journalisation d’audit. Cela est dû au fait que le nouveau serveur a une identité managée différente, qui peut ne pas avoir accès au compte de stockage d’audit. Vérifiez que l’identité du nouveau serveur dispose des autorisations appropriées pour maintenir la continuité de l’audit.

Audit dans Azure Synapse Analytics

Pour des informations sur l’audit basé sur l’identité managée dans Azure Synapse Analytics, voir Audit utilisant l’identité managée.

Contenu connexe

  • Dernière mise à jour :