Controllo con un'identità gestita

Si applica a:Database SQL di Azure

Il controllo per database SQL di Azure può essere configurato per l'uso di un account di archiviazione con due metodi di autenticazione:

  • Identità gestita
  • Chiavi di accesso di archiviazione

L'identità gestita può essere un'identità gestita assegnata dal sistema (SMI) o un'identità gestita assegnata dall'utente (UMI).

Per configurare la scrittura dei log di controllo in un account di archiviazione, passare al portale di Azure e selezionare la risorsa server logico per il database SQL di Azure. Selezionare Storage nel menu Auditing. Selezionare l'account di archiviazione di Azure in cui verranno salvati i log.

Per impostazione predefinita, l'identità usata è l'identità utente primaria assegnata al server. Se non è presente alcuna identità utente, il server crea un'identità gestita assegnata dal sistema e la usa a scopo di autenticazione.

Schermata del menu Controllo nel portale di Azure per selezionare Identità gestita come tipo di autenticazione per l'archiviazione.

Selezionare il periodo di conservazione aprendo Proprietà avanzate. Quindi selezionare Salva. I log più vecchi del periodo di conservazione vengono eliminati.

Identità gestita assegnata dall'utente

UMI dà agli utenti la flessibilità di creare e mantenere le proprie UMI per un tenant. È possibile usare le UMI come identità del server per Azure SQL. La UMI è gestita dall'utente, rispetto a un'identità gestita assegnata dal sistema, che è definita in modo univoco per ogni server e assegnata dal sistema.

Per ulteriori informazioni sulle identità utente gestite, vedere Identità gestite in Microsoft Entra per Azure SQL.

Configurare l'identità gestita assegnata dall'utente per l'auditing del database SQL di Azure

Prima di poter configurare il controllo per inviare i log all'account di archiviazione, l'identità gestita assegnata al server deve avere l'assegnazione di ruolo Storage Blob Data Contributor. Questa assegnazione di criterio è necessaria se si sta configurando l'auditing usando PowerShell, l'interfaccia della riga di comando di Azure, l'API REST o i modelli ARM. L'assegnazione di ruolo viene eseguita automaticamente quando si usa il portale di Azure per configurare il controllo, quindi i passaggi seguenti non sono necessari se si configura il controllo tramite il portale di Azure.

  1. Vai al portale di Azure.

  2. Creare un'identità gestita assegnata dall'utente, se non è già stato fatto. Per altre informazioni, vedere creazione di identità gestite assegnate dall'utente.

  3. Passare all'account di archiviazione che si vuole configurare per il controllo.

  4. Selezionare il menu Controllo di accesso (IAM).

  5. Seleziona Aggiungi>Aggiungi assegnazione ruolo.

  6. Nella scheda Ruolo, cercare e selezionare Storage Blob Data Contributor. Selezionare Avanti.

  7. Nella scheda Membri, selezionare Identità gestita nella sezione Assegnare accesso a, quindi Seleziona membri. È possibile selezionare l'Identità gestita creata per il server.

  8. Seleziona Esamina e assegna.

    Screenshot dell'assegnazione del Collaboratore ai dati del BLOB di archiviazione all'identità gestita nel portale di Azure.

Per ulteriori informazioni, vedere Assegnare ruoli di Azure usando il portale.

Usare quanto segue per configurare il controllo usando l'identità gestita assegnata dall'utente:

  1. Passare al menu Identity per il server. Nella sezione Identità gestita assegnata dall'utente, Aggiungi l'identità gestita.

  2. È quindi possibile selezionare l'identità gestita aggiunta come Identità primaria per il server.

    Screenshot del menu Identità nel portale di Azure e selezione dell'identità primaria.

  3. Passare al menu Verifica per il server. Selezionare Identità gestita come Tipo di autenticazione di Archiviazione durante la configurazione dell'Archiviazione per il server.

Nota

Quando il controllo viene configurato usando un'identità gestita, la copia del database in un nuovo server o la creazione di una replica geografica può interrompere la registrazione di controllo. Questo perché il nuovo server ha un'identità gestita diversa, che potrebbe non avere accesso all'account di archiviazione di controllo. Assicurarsi che all'identità del nuovo server siano concesse le autorizzazioni appropriate per mantenere la continuità di controllo.

Controllo in Azure Synapse Analytics

Per informazioni sull'audit basato su identità gestita in Azure Synapse Analytics, vedi Controllo tramite identità gestita.

Contenuti correlati

  • Ultimo aggiornamento: